JP5000599B2 - Data processing method in a storage device and storage device - Google Patents

Data processing method in a storage device and storage device Download PDF

Info

Publication number
JP5000599B2
JP5000599B2 JP2008194742A JP2008194742A JP5000599B2 JP 5000599 B2 JP5000599 B2 JP 5000599B2 JP 2008194742 A JP2008194742 A JP 2008194742A JP 2008194742 A JP2008194742 A JP 2008194742A JP 5000599 B2 JP5000599 B2 JP 5000599B2
Authority
JP
Japan
Prior art keywords
data
encryption
plurality
raid group
adapter
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2008194742A
Other languages
Japanese (ja)
Other versions
JP2010033319A (en
Inventor
修一 八木
伸 西原
康之 長副
Original Assignee
株式会社日立製作所
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社日立製作所 filed Critical 株式会社日立製作所
Priority to JP2008194742A priority Critical patent/JP5000599B2/en
Publication of JP2010033319A publication Critical patent/JP2010033319A/en
Application granted granted Critical
Publication of JP5000599B2 publication Critical patent/JP5000599B2/en
Application status is Active legal-status Critical
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • GPHYSICS
    • G06COMPUTING; CALCULATING; COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/88Detecting or preventing theft or loss
    • GPHYSICS
    • G06COMPUTING; CALCULATING; COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/78Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure storage of data
    • G06F21/80Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure storage of data in storage media based on magnetic or optical technology, e.g. disks with sectors

Description

本発明は、複数のディスク装置にデータを格納するストレージ装置及びストレージ装置のデータ処理方法に関する。 The present invention relates to a data processing method for a storage apparatus and a storage device that stores data in a plurality of disk devices.

従来、この種のストレージシステムとして、サーバとの間でデータ通信が可能なストレージシステムにおいて、サーバとのインターフェースを有するチャネルIF部を備え、チャネルIF部内に、サーバに送信するデータを暗号化し、サーバより受信したデータを復号化する暗号処理部を設ける構成としたストレージシステムが知られている(特許文献1参照)。 Conventionally, as this kind of storage system, in a data communication is available storage system with the server, with the channel IF unit having an interface with the server, the channel IF section, and encrypts data sent to the server, the server the storage system with the configuration in which the encryption processing unit to decode more received data is known (see Patent Document 1).
特開2005−322201号公報 JP 2005-322201 JP

一方、従来のストレージシステムにおける暗号化処理では、データを格納する装置、例えばハードディスク(以下、HDDという)を仮想的に複数に分割した論理デバイス(以下、LDEV(Logical Device)という)単位で暗号化するか否かを設定していた。 On the other hand, in the encryption process in a conventional storage system, a device for storing data, for example, a hard disk (hereinafter, referred to as HDD) logic devices virtually divided into a plurality of (hereinafter referred to as LDEV (Logical Device)) encrypted in the unit whether or not to have been set. そのため、HDD内に暗号化領域と非暗号化領域とが混在することとなり、HDDが盗難されたり、持ち出されたりする場合に、非暗号化領域のデータが漏えいするおそれがあった。 Therefore, it becomes possible and the encryption area and a non-encryption area in the HDD are mixed, the HDD or stolen, when or taken out, the data of the non-encrypted area there is a risk of leakage.

本発明はこのような問題に鑑みてなされたものであり、ディスク装置の盗難や持ち出しなどによるデータ漏えいを防止することのできるストレージ装置及びストレージ装置のデータ処理方法を提供することを目的とする。 The present invention has been made in view of such problems, and an object thereof is to provide a data processing method for a storage apparatus and a storage apparatus capable of preventing data leakage due to theft and carrying out of the disk device.

本発明は前述の目的を達成するために、複数のディスク装置にデータを格納するストレージ装置において、それぞれが、少なくとも1つのRAIDグループを構成する複数の前記ディスク装置に接続される複数のアダプタと、前記複数のディスク装置が提供する記憶領域を複数の論理記憶領域に分割して管理するとともに、複数の前記RAIDグループを管理する管理部とを備え、前記複数のディスク装置は、それぞれ前記ディスク装置単位に前記RAIDグループを構成しており、前記複数のアダプタの少なくとも1つは、前記データを暗号化可能な暗号化アダプタであり、前記管理部は、前記RAIDグループに属する前記ディスク装置に接続される前記アダプタが、全て前記暗号化アダプタであるときに、該RAIDグループに対し、 For the present invention to achieve the above object, in a storage apparatus for storing data in a plurality of disk devices, respectively, and a plurality of adapters that are connected to a plurality of the disk drives constituting at least one RAID group, with managed by dividing the storage area in which the plurality of disk devices is provided to a plurality of logical storage areas, and a management unit for managing a plurality of the RAID group, the plurality of disk devices, each of the disk device unit wherein constitute a RAID group, at least one of said plurality of adapters, the data is encrypted capable encryption adapter, said management unit is connected to the disk devices belonging to the RAID group said adapter, when it is all the encrypted adapter, to the RAID group, 記データを暗号化するか否かを示す暗号化状態を設定し、前記暗号化アダプタは、前記データの格納先となる前記ディスク装置が属する前記RAIDグループに設定された前記暗号化状態に基づいて、該データを暗号化して該ディスク装置に格納するストレージ装置を提案する。 The serial data to set the encryption state indicating whether encrypted, the encrypted adapter, based on said encryption the disc apparatus is set to the RAID group including the storage destination to become the data , to propose a storage device for storing the said disk device encrypts the data.

このストレージ装置によれば、RAIDグループに対して暗号化状態が設定され、設定された暗号化状態に基づいてデータが暗号化されてディスク装置に格納されるので、RAIDグループを構成するディスク装置はデータを暗号化して格納されるか、又はデータを暗号化せずに格納されるかの何れか一方のみとなり、1つのディスク装置内に暗号化されたデータが記憶される暗号化領域と、暗号されないデータが記憶される非暗号化領域とが混在することがない。 According to this storage system, sets the encryption status to the RAID group, the data is stored in the disk device is encrypted on the basis of the set encrypted state, disk drives constituting the RAID group or the data are stored encrypted, or data becomes only either one of or be stored without encrypting an encryption region encrypted data is stored in one disk device, encryption and a non-encryption area is never mixed not data is stored.

好ましくは、前記管理部は、前記RAIDグループに設定された前記暗号化状態に基づいて、該RAIDグループに対応する前記論理記憶領域の前記暗号化状態を表示する。 Preferably, the management unit, on the basis of the said encryption status belonging to the RAID group, and displays the encrypted state of the logical storage area corresponding to the RAID group.

このストレージ装置によれば、RAIDグループに設定された暗号化状態に基づいて、RAIDグループに対応する論理記憶領域の暗号化状態が表示されるので、例えばデータマイグレーションやデータコピーなどの操作を行う際に、管理者は論理記憶領域ごとに暗号化状態を知ることができる。 According to this storage system, on the basis of the encrypted state belonging to the RAID group, the encryption state is displayed in the logical storage area corresponding to the RAID group, for example, when performing operations such as data migration, data copying , the administrator can know the encryption status for each logical storage area.

また、本発明は前述の目的を達成するために、複数のディスク装置にデータを格納するストレージ装置におけるデータ処理方法において、前記ストレージ装置は、それぞれが、少なくとも1つのRAIDグループを構成する複数の前記ディスク装置に接続される複数のアダプタと、前記複数のディスク装置が提供する記憶領域を複数の論理記憶領域に分割して管理するとともに、複数の前記RAIDグループを管理する管理部とを有し、前記複数のディスク装置は、それぞれ前記ディスク装置単位に前記RAIDグループを構成しており、前記複数のアダプタの少なくとも1つは、前記データを暗号化可能な暗号化アダプタであり、前記管理部が、前記RAIDグループに属する前記ディスク装置に接続される前記アダプタが、全て前記暗号 In order the present invention to achieve the above object, a data processing method in a storage apparatus for storing data in a plurality of disk devices, the storage device, each of a plurality of constituting at least one RAID group the a plurality of adapter connected to the disk device, while managing by dividing a storage area in which the plurality of disk devices is provided to a plurality of logical storage areas, and a management unit for managing a plurality of the RAID group, wherein the plurality of disk devices, respectively constitute the RAID group in the disk drive unit, wherein at least one of the plurality of adapters, the data is encrypted capable encryption adapter, said management unit, said adapter connected to said disk devices belonging to the RAID group, all the cryptographic アダプタであるときに、該RAIDグループに対し、前記データを暗号化するか否かを示す暗号化状態を設定する第1ステップと、前記暗号化アダプタが、前記データの格納先となる前記ディスク装置が属する前記RAIDグループに設定された前記暗号化状態に基づいて、該データを暗号化して該ディスク装置に格納する第2ステップとを備えるストレージ装置におけるデータ処理方法を提案する。 When an adapter, to the RAID group, the first step of setting the encryption status indicating whether or not to encrypt the data, the encrypted adapter, a storage destination of the data and the disk device based on the encrypted state set in the RAID group to which it belongs, to propose a data processing method in a storage apparatus and a second step of storing in the disk device encrypts the data.

このストレージ装置におけるデータ処理方法によれば、RAIDグループに対して暗号化状態が設定され、設定された暗号化状態に基づいてデータが暗号化されてディスク装置に格納されるので、RAIDグループを構成するディスク装置はデータを暗号化して格納されるか、又はデータを暗号化せずに格納されるかの何れか一方のみとなり、1つのディスク装置内に暗号化されたデータが記憶される暗号化領域と、暗号されないデータが記憶される非暗号化領域とが混在することがない。 According to the data processing method in the storage system, sets the encryption status to the RAID group, the data is stored in the disk device is encrypted on the basis of the set encrypted state, constituting a RAID group encrypted disk device is either stored encrypted data, or data to be only one of either stored without encryption, the encrypted data in one disk device is stored for and the region, and the non-encrypted area data is not encrypted is stored is never mixed.

好ましくは、前記第1ステップの後に、前記管理部が、前記RAIDグループに設定された前記暗号化状態に基づいて、該RAIDグループに対応する前記論理記憶領域の前記暗号化状態を表示する第3ステップをさらに備える。 Preferably, after the first step, the management unit, on the basis of the said encryption status belonging to the RAID group, the third displaying the encryption status of the logical storage area corresponding to the RAID group step further comprising a.

このストレージ装置におけるデータ処理方法によれば、RAIDグループに設定された暗号化状態に基づいて、RAIDグループに対応する論理記憶領域の暗号化状態が表示されるので、例えばデータマイグレーションやデータコピーなどの操作を行う際に、管理者は論理記憶領域ごとに暗号化状態を知ることができる。 According to the data processing method in the storage device, based on the set encryption status in the RAID group, the encryption state of the logical storage area corresponding to the RAID group is displayed, for example, such as data migration, data copying when performing an operation, the administrator can know the encryption status for each logical storage area.

本発明によれば、RAIDグループを構成するディスク装置はデータを暗号化して格納されるか、又はデータを暗号化せずに格納されるかの何れか一方のみとなり、1つのディスク装置内に暗号化されたデータが記憶される暗号化領域と、暗号されないデータが記憶される非暗号化領域とが混在することがない。 According to the present invention, or disk drives constituting a RAID group is stored encrypted data, or data to be only one of any stored without encryption, the encryption in one disk device an encryption region encrypted data is stored, and a non-encryption area that is not encrypted data is stored is never mixed. これにより、ディスク装置の盗難や持ち出しなどによるデータ漏えいを防止することができる。 Thus, it is possible to prevent data loss due to theft and carrying out of the disk device.

以下、図面を参照しながら本発明の一実施の形態を詳述する。 Will be described in detail an embodiment of the present invention with reference to the drawings.

図1はストレージシステムの構成を説明するブロック図である。 Figure 1 is a block diagram illustrating the configuration of a storage system. 図1に示すように、 ストレージシステム1は、複数のホスト計算機10(10A,10B,10C)と、 通信 11を介して各ホスト計算機10A〜10Cと接続されるストレージ装置20 と、ストレージ装置20と接続される複数のHDD(Hard Disk Drive)50とを備 える。 As shown in FIG. 1, the storage system 1, a plurality of host computers 10 (10A, 10B, 10C) and, a storage device 20 connected via a communication 11 with the host computer 1OA - 1OC, the storage device 20 obtain Bei a plurality of HDD (Hard Disk Drive) 50 that are connected.

各ホスト計算機10A〜10Cは、CPUやメモリなどを備えたコンピュータ装置であり、ストレージ装置20によって提供される記憶領域を論理的に認識し、この論理記憶領域(以下、論理ボリューム、又はLDEVという)を利用して、データベースソフトウェアなどの業務アプリケーションプログラムを実行する。 Each host computer 10A~10C is a computer device comprising a CPU and a memory, logically recognizes the storage area provided by the storage device 20, the logical storage area (hereinafter, a logical volume, or that LDEV) using, to run the business application programs, such as database software. なお、ホスト計算機10は、ストレージ装置20に対する上位装置の一例である。 The host computer 10 is an example of a host device to the storage device 20.

通信ネットワーク11は、LAN(Local Area Network)、SAN(Storage Area Network)、インターネット、専用回線、公衆回線などによって構成される。 Communication network 11, LAN (Local Area Network), SAN (Storage Area Network), Internet, dedicated line, constituted by the public line. ホスト計算機10とストレージ装置20との間のデータ通信は、例えばTCP/IP(Transmission Control Protocol/Internet Protocol)や、ファイバチャネルプロトコルに従って行われる。 Data communication between the host computer 10 and the storage device 20, for example, TCP / IP (Transmission Control Protocol / Internet Protocol) and is performed according to Fiber Channel Protocol.

ストレージ装置20は、複数のチャネルアダプタ30(30A,30B,30C)、複数のディスクアダプタ40(40A,40B,40C)、接続部21、SVP(Service Processor)22、キャッシュメモリ23及び共有メモリ24を備えており、ストレージ装置20は、例えばディスクアレイサブシステムや、高機能化されたインテリジェント型のファイバチャネルスイッチとして構成される。 The storage device 20 includes a plurality of channel adapters 30 (30A, 30B, 30C), a plurality of disk adapters 40 (40A, 40B, 40C), the connecting portion 21, SVP (Service Processor) 22, cache memory 23 and shared memory 24 with which the storage device 20 is composed of, for example, a disk array subsystem, as an intelligent type fiber channel switch which is highly functional.

本実施形態では、ストレージ装置20は外部に設けられた複数のHDD50と接続するようにしたが、これに限定されず、ストレージ装置20内に複数のHDDを内蔵するようにしてもよい。 In this embodiment, the storage device 20 is to be connected to a plurality of HDD50 provided outside, without being limited thereto, may be a plurality of built-in HDD in the storage apparatus 20.

各チャネルアダプタ30A〜30Cは、マイクロプロセッサ(以下、MPという)31、ローカルメモリ(以下、LMという)32、及びポート33などを備えたマイクロコンピュータであり、主としてホスト計算機10に対するインターフェースとして機能する。 Each channel adapter 30A~30C, the microprocessor (hereinafter, MP hereinafter) 31, a local memory (hereinafter, LM hereinafter) 32, and a microcomputer equipped with such as port 33 functions as an interface primarily to the host computer 10. MP31はホスト計算機10から送信されるコマンドを処理するマイクロプログラムを実行し、LM32はこのマイクロプログラムを記憶する。 MP31 executes a micro program for processing commands sent from the host computer 10, LM32 stores the microprogram. ポート33は通信ネットワーク11を介してホスト計算機10と接続する。 Port 33 is connected to the host computer 10 via the communications network 11.

各ディスクアダプタ40A〜40Cは、MP41、LM42及びポート43などを備えたマイクロコンピュータであり、主として後述のHDD50に対するインターフェースとして機能する。 Each disk adapter 40A~40C are, MP41, LM42 and a microcomputer equipped with such as port 43, and functions as an interface to primarily below HDD 50. MP41はポート43に接続されるHDD50を制御するマイクロプログラムを実行し、LM42はこのマイクロプログラムなどを記憶する。 MP41 executes a microprogram for controlling the HDD50 to be connected to the port 43, LM42 stores like this microprogram. なお、MP41は1つに限定されず、複数備えるようにしてもよい。 Incidentally, MP41 is not limited to one, it may be more provided. ポート43には1つ又は複数のHDD50が接続され、ポート43とHDD50との間は、ファイバーチャネルのFC−AL(Fibre Channel Arbitrated Loop)、ファブリック、又はSAS(Serial Attached SCSI)などの方式によって接続される。 The port 43 is connected to one or more HDD 50, between the port 43 and the HDD 50 is, FC-AL (Fibre Channel Arbitrated Loop) Fiber Channel fabric, or connected by methods such as SAS (Serial Attached SCSI) It is.

ディスクアダプタ40は、ホスト計算機10から送信された論理アドレス指定によるデータアクセス要求を、物理アドレス指定によるデータアクセス要求に変換する。 The disk adapter 40, a data access request by the logical addressing transmitted from the host computer 10, converts the data access request by physical addressing. すなわち、指定された論理記憶領域のアドレスを物理的な記憶領域の物理アドレスに読み替え、当該物理アドレスに対応するHDD50の記憶領域に対してデータの読み書きを行う。 That is, it replaced the address of the designated logical storage area to a physical address of the physical storage area, reading and writing data from and to the storage area of ​​the HDD50 corresponding to the physical address. また、ディスクアダプタ40は、HDD50のRAID構成に応じたデータアクセスを行う。 The disk adapter 40 performs data access according to the RAID configuration of the HDD 50.

各HDD50は、ホスト計算機10に対して記憶領域を提供するディスク装置であり、複数のHDD50は、それぞれHDD単位にRAID(Redundant Array of Inexpensive Disks)方式のディスクアレイを構成している。 Each HDD50 is a disk device that provides a storage area to the host computer 10, a plurality of HDD50 constitute a disk array of RAID (Redundant Array of Inexpensive Disks) scheme HDD units, respectively.

接続部21は、各チャネルアダプタ30A〜30C、各ディスクアダプタ40A〜40C、SVP22、キャッシュメモリ23、及び共有メモリ24を相互に接続する。 Connection part 21, the channel adapters 30A through 30C, each disk adapter 40A to 40C, SVP 22, connects a cache memory 23, and shared memory 24 to each other. 接続部21は、例えば高速スイッチングによりデータ伝送を行う超高速クロスバスイッチなどの高速バスで構成される。 Connection unit 21 is composed of a high-speed bus such as an ultra fast crossbar switch for performing data transmission, for example, by high-speed switching.

SVP22は、ストレージ装置20の管理及び監視を行うプロセッサであり、複数のHDD50が提供する記憶領域を複数の論理記憶領域に分割して管理するとともに、複数のHDD50を複数のRAIDグループに分割して管理する。 SVP22 is a processor for management and monitoring of the storage device 20, as well as managed by dividing the storage area in which a plurality of HDD50 is provided to a plurality of logical storage areas, dividing the plurality of HDD50 the plurality of RAID groups to manage. また、SVP22は、ネットワーク12を介して外部の管理端末13が接続されており、ストレージステム1の管理者は、管理端末13を操作することによりストレージ装置20の各種設定などを管理することができる。 Also, SVP 22 is an external management terminal 13 via the network 12 is connected, an administrator of the storage system 1 is able to manage various settings of the storage device 20, etc. By operating the management terminal 13 . なお、各ディスクアダプタ40A〜40Cは、それぞれが接続するHDD50の状態を随時監視しており、この監視結果が接続部21を介してSVP22に送信される。 Each disk adapter 40A~40C monitors the HDD50 state of each connection from time to time, the monitoring results are transmitted to the SVP22 via connection 21.

ネットワーク12はLANなどによって構成され、管理端末13はCPUやメモリなどを備えたコンピュータ装置である。 Network 12 is constituted by such as LAN, the management terminal 13 is a computer device comprising a CPU and a memory. なお、ネットワーク12は前述の通信ネットワーク11と同一のネットワークであってもよい。 The network 12 may be the same network as the communication network 11 described above.

キャッシュメモリ23及び共有メモリ24は、接続部21を介して各チャネルアダプタ30A〜30C、各ディスクアダプタ40A〜40C、及びSVP22が共用するメモリである。 The cache memory 23 and shared memory 24, each channel adapter 30A~30C via connection 21, a memory disk adapters 40A to 40C, and that SVP22 is shared. キャッシュメモリ23は、主としてデータを一時記憶するために利用される。 The cache memory 23 is used mainly for temporarily storing data. 共有メモリ24は、主として制御情報やコマンドなどを記憶するために利用される。 Shared memory 24 is used to store mainly to control information and commands. また、共有メモリ24は、後述のディスクアダプタ管理テーブル200、RAIDグループ管理テーブル300、暗号化管理テーブル400、及び外部バックアップ情報テーブル500を記憶する。 The shared memory 24, the disk adapter management table 200, RAID group management table 300 described later, and stores the encrypted management table 400 and the external backup information table 500,.

以下の説明では、各ディスクアダプタ40A〜40CのMP41は、共有メモリ24に記憶されたデータを共有メモリ24に直接アクセスするようにしたが、これに限定されず、共有メモリ24に記憶されたデータを、各ディスクアダプタ40A〜40CのLM42に、定期的に、又は必要に応じてコピーしておき、MP41はLM42にアクセスするようにしてもよい。 In the following description, MP41 of each disk adapter 40A~40C has been adapted to directly access the data stored in the shared memory 24 in the shared memory 24 is not limited to this, the data stored in the shared memory 24 , to LM42 each disk adapter 40A to 40C, leave periodically or copied as necessary, MP41 may be accessed LM42.

ここで、チャネルアダプタ30及びディスクアダプタ40の動作の概要について説明する。 Here, an outline of the operation of the channel adapter 30 and disk adapter 40.

例えばチャネルアダプタ30が、ホスト計算機10からリードコマンドを受信すると、リードコマンドを共有メモリ24に格納する。 For example the channel adapter 30 receives a read command from the host computer 10, and stores the read command in the shared memory 24. ディスクアダプタ40は共有メモリ24を随時参照しており、未処理のリードコマンドを発見すると、ディスクアダプタ40は、共有メモリ24に格納されたリードコマンドに従って、HDD50からデータを読み出してキャッシュメモリ23に格納する。 The disk adapter 40 is with reference to the shared memory 24 from time to time discovers an unprocessed read command, the disk adapter 40 stores, in accordance with the read command stored in the shared memory 24, the cache memory 23 reads out the data from the HDD50 to. チャネルアダプタ30は、キャッシュメモリ23に格納されたデータを読み出し、リードコマンドの発行元のホスト計算機10に送信する。 The channel adapter 30 reads the data stored in the cache memory 23, and transmits the issuer of the host computer 10 a read command.

また、チャネルアダプタ30がホスト計算機10からライトデータ及びライトコマンドを受信すると、ライトコマンドを共有メモリ24に格納するとともに、ライトデータをキャッシュメモリ23に格納する。 Further, the channel adapter 30 receives the write data and the write command from the host computer 10 stores the write command in the shared memory 24, and stores the write data in the cache memory 23. ディスクアダプタ40は、共有メモリ24に格納されたライトコマンドに従って、キャッシュメモリ23に格納された受信データをHDD50に格納する。 The disk adapter 40, in accordance with the write command stored in the shared memory 24 stores the received data stored in the cache memory 23 to the HDD 50.

図2は、図1に示したディスクアダプタの構成を説明するブロック図である。 Figure 2 is a block diagram illustrating the configuration of the disk adapter shown in FIG. 図2に示すように、ディスクアダプタ40は、前述のMP41、LM42に加え、インターフェース(I/F)45、及びファイバーチャネルアダプターモジュール(以下、FCAという)60を備える。 As shown in FIG. 2, the disk adapter 40, in addition to the aforementioned MP41, LM42, interface (I / F) 45, and Fiber Channel adapter module (hereinafter, FCA hereinafter) comprises a 60. MP41、LM42、インターフェース(I/F)45及びFCA60は、内部バス46を介して相互に接続される。 MP41, LM42, interface (I / F) 45 and FCA60 are connected to each other via an internal bus 46. 内部バス46は、FCA60を介して所定のHDD50に接続され、インターフェース43を介して接続部21に接続される。 Internal bus 46 is connected via a FCA60 to a predetermined HDD 50, it is connected to the connecting portion 21 through the interface 43.

ストレージ装置20が備える複数のディスクアダプタ40において、少なくとも1つのFCA60は、後述する暗号化・複号化回路70を有する。 A plurality of disk adapters 40 the storage device 20 is provided, at least one FCA60 have encryption and decryption circuit 70 to be described later. 暗号化・複号化回路70を備えるディスクアダプタ40(以下、暗号化ディスクアダプタ40という)は、内部バス46に接続されるフラッシュメモリ(以下、FMという)44を備える。 Disk adapter 40 comprises encryption and decryption circuit 70 (hereinafter, referred to as encrypted disk adapter 40), the flash memory (hereinafter, FM hereinafter) which is connected to the internal bus 46 comprises a 44. FM44は、EEPROM(Electrically Erasable programmable ROM)などから構成される不揮発媒体であり、主として後述の内部変換暗号鍵を記憶するために利用される。 FM44 is a non-medium and the like EEPROM (Electrically Erasable programmable ROM), is used to store the internal conversion encryption key will be described later mainly.

暗号化ディスクアダプタ40は、キャッシュメモリ23に格納されたデータを暗号化してHDD50に格納することが可能となる。 Encrypted disk adapter 40, it is possible to store the data stored in the cache memory 23 to the HDD50 encrypted. また、暗号化ディスクアダプタ40は、HDD50に記憶される暗号化されたデータを、複号化してキャッシュメモリ23に格納することが可能となる。 Further, encrypted disk adapter 40, the encrypted data is stored in the HDD 50, it is possible to store in the cache memory 23 and decodes.

図3は、図2に示したファイバーチャネルアダプターモジュールの構成を説明するブロック図である。 Figure 3 is a block diagram illustrating the configuration of the Fiber Channel adapter module shown in FIG. 図3に示すように、FCA60は、パラメータ制御部61、内部コントローラ62、キャッシュリード制御部63、キャッシュライト制御部64、及び複数のインターフェース65〜68を備える。 As shown in FIG. 3, FCA60 includes parameter control section 61, an internal controller 62, the cache read control unit 63, the cache write control unit 64, and a plurality of interfaces 65-68. パラメータ制御部61、内部コントローラ62、キャッシュリード制御部63、キャッシュライト制御部64、及び複数のインターフェース65〜68は、内部バス69を介して相互に接続される。 Parameter control unit 61, the internal controller 62, the cache read control unit 63, the cache write control unit 64, and a plurality of interfaces 65 to 68 are connected to each other via an internal bus 69. 内部バス69は、インターフェース65及び内部バス46を介してMP41に接続され、インターフェース66及び内部バス46を介してLM42に接続され、インターフェース67を介して所定のHDD50に接続され、インターフェース68及び内部バス46を介してキャッシュメモリ23に接続される。 Internal bus 69 is connected to the MP41 via the interface 65 and internal bus 46, is connected to LM42 through the interface 66 and internal bus 46, is connected to a predetermined HDD50 through the interface 67, the interface 68 and the internal bus It is connected to the cache memory 23 through 46.

暗号化ディスクアダプタ40のFCA60では、内部バス69に、さらに、FCA60に暗号化・複号化機能を付加するための暗号化・複号化回路70が接続される。 In FCA60 of encrypted disk adapter 40, the internal bus 69, further encryption and decryption circuit 70 for adding the encryption and decryption functions are connected to FCA60. このように、暗号化・複号化機能を有しない従来のFCAに、暗号化・複号化回路70を追加することにより、ディスクアダプタを暗号化ディスクアダプタに交換(リプレース)することができる。 Thus, the conventional FCA no encryption and decryption functions, by adding encryption and decryption circuit 70, a disk adapter may be exchanged (replaced) in encrypted disk adapter.

暗号化・複号化回路70は、データ暗号鍵を用いて、キャッシュメモリ23から入力されHDD50に出力する前のデータを暗号化するとともに、HDD50から入力されキャッシュメモリ23に出力する前のデータを複号化する。 Encryption and decryption circuit 70, by using the data encryption key, while encrypting the data before outputting the input from the cache memory 23 HDD 50, the data before output to the cache memory 23 is inputted from the HDD 50 for decryption. このように、例えばホスト計算機10から送信され、キャッシュメモリ23に格納されたライトデータが、ディスクアダプタ40内で暗号化され、HDD50に格納されるので、ホスト計算機10でライトデータを暗号化する場合と比較して、ホスト計算機10における業務アプリケーションプログラムへの負荷を低減することができる。 Thus, for example, transmitted from the host computer 10, when the stored write data in the cache memory 23 is encrypted by the disk adapter 40 inside, since it is stored in the HDD 50, to encrypt the write data in the host computer 10 compared to, it is possible to reduce the load on the business application program in the host computer 10. また、ホスト計算機10とストレージ装置20との間の通信ネットワーク11でライトデータを暗号化する場合と比較して、ストレージシステム1全体のスループットを向上させることができる。 Further, in comparison with the case of encrypting write data in a communication network 11 between the host computer 10 and the storage device 20, to improve the storage system 1 overall throughput.

本実施形態では、データ暗号鍵を用いて暗号化及び復号化するようにしたが、これに限定されず、復号化する際にはデータ暗号鍵と異なるデータ復号鍵を用いるようにしてもよい。 In the present embodiment it has been adapted to encrypt and decrypt by using the data encryption key, not limited thereto, may be used with different data decryption key and data encryption key in decoding.

内部コントローラ62は、FCA60内において、キャッシュメモリ23とHDD50との間でデータを読み書きする動作を制御するためのものである。 Internal controller 62, in the FCA60, is for controlling an operation for reading and writing data to and from the cache memory 23 and HDD 50. パラメータ制御部61は、キャッシュメモリ23に格納されたリードデータ及びライトデータの物理アドレスに対応するパラメータを、キャッシュリード制御部64及びキャッシュライト制御部63に設定するためのものである。 Parameter control unit 61, the parameters corresponding to the physical address of the read data and write data stored in the cache memory 23, is used to set the cache read control unit 64 and the cache write control unit 63.

例えば、キャッシュメモリ23からHDD50にデータを書き込む(以下、デステージングという)際に、FCA60の内部コントローラ62は、HDD50からデータの転送許可情報が入力されると、パラメータ制御部61に、LM42からパラメータを読み出すように指示する。 For example, to write data from the cache memory 23 to the HDD 50 (hereinafter, referred destaging) when the internal controller 62 of FCA60 is the transfer permission information data from the HDD 50 is input, the parameter control unit 61, parameters from LM42 a is instructed to read. パラメータ制御部61は、読み出したパラメータをキャッシュリード制御部64に出力する。 Parameter control unit 61 outputs the read parameters to the cache read control unit 64.

内部コントローラ62は、キャッシュリード制御部64に、このパラメータに基づいてキャッシュメモリ23の目的とするアドレスにあるデータを読み出すように指示する。 Internal controller 62, the cache read control unit 64 is instructed to read out the data at the address for the purpose of cache memory 23 on the basis of this parameter. また、内部コントローラ62は、キャッシュリード制御部64に、キャッシュメモリ23から読み出したデータを暗号化・複号化回路70に出力するように指示する。 The internal controller 62, the cache read control unit 64, and instructs to output the data read from the cache memory 23 to the encryption and decryption circuit 70.

暗号化・複号化回路70は、入力されたデータに対して所定の方式の暗号化アルゴリズムを実行して暗号化処理を適用し、内部コントローラ62は、暗号化処理されたデータを、キャッシュリード制御部64を介してHDD50に出力するように指示する。 Encryption and decryption circuit 70 executes an encryption algorithm of a predetermined manner with respect to the input data by applying the encryption process, the internal controller 62, the encryption process data, the cache read via the control unit 64 instructs to output to the HDD 50.

一方、HDD50から読み出したデータをキャッシュメモリ23に書き込む(以下、ステージングという)際に、内部コントローラ62は、暗号化されたデータを暗号化・複号化回路70において複号化処理した上で、前述の場合と同様に、キャッシュライト制御部63に、パラメータ制御部61によってLM42から読み出されたパラメータに基づいて、復号化されたデータをキャッシュメモリ23のアドレスに出力するように指示する。 On the other hand, it writes the read data from the HDD50 in the cache memory 23 (hereinafter, referred to as staging) when the internal controller 62, after treated decodes the encrypted data in the encryption and decryption circuit 70, as before, the cache write control unit 63, based on the parameter control section 61 to parameters read from LM42, an instruction to output the decrypted data to the address of the cache memory 23.

図4は、図1に示したディスクアダプタ及びHDDの接続例を説明するブロック図である。 Figure 4 is a block diagram illustrating a connection example of the disk adapter and HDD shown in FIG. 図4に示すように、各ディスクアダプタ40A〜40Dは、例えばファイバーチャネルのFC−AL600によって複数のHDD50と接続される。 As shown in FIG. 4, each disk adapter 40A~40D is connected to a plurality of HDD50 by FC-AL600 of Fiber Channel, for example.

各ディスクアダプタ40A〜40Dは4つのポート43を有する。 Each disk adapter 40A~40D has four ports 43. 例えばHDD(00〜09)50は、1つのFC−AL600ループによって、ポート(0)43を介して一対のディスクアダプタ40A、40Bの両方に接続される。 For example HDD (00-09) 50 is by a single FC-AL600 loop port (0) 43 via a pair of disk adapters 40A, is connected to both 40B. これにより、ディスクアダプタとHDDとの接続に関して冗長化が実現される。 Thus, redundancy is achieved with respect to the connection between the disk adapter and the HDD. 他のHDD(10〜79)50も、これと同様に、一対のディスクアダプタの両方に接続されることにより、ディスクアダプタとHDDとの接続に関して冗長化が実現される。 Other HDD (10-79) 50, like the hand, by being connected to both of the pair of disk adapters, redundant can be realized with respect to connection between the disk adapter and the HDD.

また図4において、例えばRAIDグループ(RG1)は、4つのHDD(00,10,20,30)50によって構成され、RAIDグループ(RG2)は、8つのHDD(03,13,23,33,43,53,63,73)によって構成されている。 In FIG. 4, for example, a RAID group (RG1) is constituted by four HDD (00,10,20,30) 50, RAID groups (RG2) is eight HDD (03,13,23,33,43 It is constituted by 53, 63, 73). すなわち、ディスクアダプタ40A、40BにはRAIDグループ(RG1)及びRAIDグループ(RG2)の2つが対応し、ディスクアダプタ40C、40DにはRAIDグループ(RG2)の1つが対応する。 In other words, the disk adapter 40A, 40B are two RAID group (RG1) and the RAID group (RG2) correspond to the disk adapter 40C, one of the RAID group (RG2) in 40D corresponding. このように、1つのディスクアダプタ40は、少なくとも1つのRAIDグループに属する。 Thus, one disk adapter 40, belong to at least one RAID group.

さらに、RAIDグループに対応するディスクアダプタ40の数は、RAIDグループのRAID構成、すなわちRAIDグループを構成するHDD50の数によって決まる。 Furthermore, the number of disk adapters 40 corresponding to the RAID group, RAID configuration of the RAID group, i.e. determined by the number of HDD50 constituting the RAID group. 例えばRAIDグループ(RG1)のように4つのHDD50から構成される場合は、対応するディスクアダプタはディスクアダプタ40A、40Bの2つであり、RAIDグループ(RG2)のように8つのHDD50から構成される場合は、対応するディスクアダプタはディスクアダプタ40A〜40Dの4つである。 If for example, a four HDD50 as RAID group (RG1), the corresponding disk adapter is a two disk adapters 40A, 40B, composed of eight HDD50 as RAID groups (RG2) If the corresponding disk adapter is four disk adapters 40A-40D. このように、1つのRAIDグループに、少なくとも1つのディスクアダプタ40が属する。 Thus, in one RAID group, at least one disk adapter 40 belongs.

図5は、図1に示したストレージ装置の記憶構造を説明するブロック図である。 Figure 5 is a block diagram illustrating a storage structure of the storage device shown in FIG. 図5は、ストレージ装置20にある複数のチャネルアダプタの何れかのチャネルアダプタに関連するブロック図であるとして説明する。 Figure 5 is described as a block diagram relating to one of the channel adapters of a plurality of channel adapters in the storage device 20.

チャネルアダプタ30のポート33には、図1に示したように通信ネットワーク11を介してホスト計算機10が接続される。 The port 33 of the channel adapter 30, the host computer 10 is connected via a communications network 11 as shown in FIG. ホスト計算機10からデータを受信するときに、チャネルアダプタ30のポート33はターゲットポートとして機能する。 When receiving data from the host computer 10, the port 33 of the channel adapter 30 functions as a target port.

LU(Logical Unit)101、102は、ライトコマンドやリードコマンドなどのI/Oコマンドを実行するSCSIターゲット内のエンティティであって、各LU101、102はポート33を介してホスト計算機10にマッピングされる。 LU (Logical Unit) 101,102 is a entity in SCSI target to perform I / O commands such as a write command or a read command, each LU101,102 is mapped via the port 33 to the host computer 10 . ホスト計算機10は、複数あるLUのそれぞれを認識して、かつ、各LUを区別して、目的とするLUに対してI/Oコマンドを発行する。 The host computer 10 recognizes each of a plurality of LU, and to distinguish each LU, issues an I / O command to the LU of interest.

各PDEV(Physical Device)111、112は、HDD50のそれぞれに対応する。 Each PDEV (Physical Device) 111,112 correspond to the respective HDD 50. PDEVの物理的な記憶領域とLUの論理的な記憶領域とを対応させる論理的記憶階層は、例えば複数の階層から構成される。 Logical storage hierarchy to associate the physical storage area and the logical storage area of ​​the LU of PDEV, for example composed of a plurality of hierarchies.

1つの論理的階層はRAIDグループに相当するVDEV(Virtual Device)121、122であり、他の1つの論理的階層はLDEV(Logical Device)131,132である。 One logical hierarchy is VDEV (Virtual Device) 121,122 corresponding to RAID group, the other one logical hierarchy is LDEV (Logical Device) 131,132. なお、図5の矢印は、矢印元の下位の階層が矢印先の上位の階層に属することを示している。 Arrows 5, arrows original lower hierarchy indicates that it belongs to the hierarchy of the arrow destination higher.

1つのVDEVは、RAIDグループを構成する複数のHDD50、すなわち複数のPDEVで構成される。 One VDEV is, a plurality of HDD50 constituting the RAID group, i.e. composed of a plurality of PDEV. LDEVは、各VEDVの下位の階層に設定され、例えばVDEVを固定長で分割することにより定義される。 LDEV is set in a hierarchy of lower respective VDEV, it is defined by dividing e.g. VDEV a fixed length. 図5では、LDEV141はVDEV131に、LDEV142はVDEV132に、それぞれ対応付けられている。 In Figure 5, LDEV141 the VDEV131, LDEV142 the VDEV132, are respectively associated.

なお、ホスト計算機10がオープン系のものである場合、LDEVはLUにマッピングされ、ホスト計算機10はLUN(Logical Unit Number)と論理ブロックアドレスを指定又は特定することにより、所望のLDEVにアクセスする。 Incidentally, when the host computer 10 is of open type, LDEV is mapped to LU, the host computer 10 by specifying or identifying a logical block address and LUN (Logical Unit Number), access a desired LDEV. 図5では、LDEV141はLU101に、LDEV142はLU102に、それぞれマッピングされている。 In Figure 5, LDEV141 the LU101, LDEV142 the LU 102, are respectively mapped. また、ホスト計算機10がメインフレーム系のものである場合、ホスト計算機10はLDEVを直接認識する。 Further, when the host computer 10 is of the mainframe, the host computer 10 recognizes directly LDEV.

各LUは、少なくとも1つのLDEVを結合することができ、1つのLUに複数のLDEVを関連付けることにより、LUの記憶領域を仮想的に拡張することができる。 Each LU can bind at least one LDEV, by associating a plurality of LDEV to one LU, it is possible to extend the storage area of ​​the LU virtually.

ポート−LU−LDEV−VDEV−PDEV間の対応関係は、例えばネットワーク12を介してSVP22に接続する管理端末13によって作成される。 Correspondence between port -LU-LDEV-VDEV-PDEV is created for example by the management terminal 13 connected to SVP22 via the network 12. この対応関係は、例えば後述のRAIDグループ管理テーブル300、暗号化管理テーブル400として、SVP22によって共有メモリ24に登録される。 This correspondence, for example, the RAID group management table 300 described later, as the encryption management table 400 is registered in the shared memory 24 by the SVP 22.

次に、図6乃至図9を参照しながら共有メモリ24に記憶されるテーブルについて説明する。 Will now be described table stored in the shared memory 24 with reference to FIGS.

図6は、図1に示したディススクアダプタ管理テーブルの一例を説明する構成図である。 Figure 6 is a block diagram illustrating an example's a disk adapter management table shown in FIG. ディススクアダプタ管理テーブル200は、ストレージシステム1に備わるディスクアダプタ40を管理するためのものである。 Disconnect disk adapter management table 200 is for managing the disk adapter 40 in the storage system 1. アダプタ管理テーブル200は、例えば後述のディスクアダプタ登録処理S100によって各行(レコード)が登録される。 Adapter management table 200, for example, each row (record) is registered by the disk adapter registration processing S100 described later. また、ディススクアダプタ管理テーブル200は、DKA−ID欄200A及びDKA種別欄200Bから構成される。 Further, Disperse disk adapter management table 200 is composed of DKA-ID field 200A and DKA type field 200B.

DKA−ID欄200Aには、ストレージシステム1内でディスクアダプタ40を一意に識別可能な識別子、例えばディスクアダプタ番号が格納される。 The DKA-ID column 200A, uniquely identifiable identifier disk adapter 40, for example, the disk adapter number is stored in the storage system 1. DKA種別欄200Bには、DKA−ID欄200Aに格納された識別子に対応するディスクアダプタ40の種別、例えば暗号化・復号化回路70を備えることを示す「暗号化対応」、又は暗号化・復号化回路70を備えないことを示す「暗号化非対応」が格納される。 The DKA type field 200B, the type of the disk adapter 40 corresponding to the identifier stored in the DKA-ID field 200A, e.g., "Encryption corresponding" indicating that comprises an encryption and decryption circuit 70, or encryption and decryption "incompatible encryption" is stored to indicate that without the circuit 70.

図7は、図1に示したRAIDグループ管理テーブルの一例を説明する構成図である。 Figure 7 is a block diagram illustrating an example of a RAID group management table shown in FIG. RAIDグループ管理テーブル300は、複数のHDD50によって構成されるRAIDグループを管理するためのものである。 RAID group management table 300 is for managing the RAID group constituted by a plurality of HDD 50. RAIDグループ管理テーブル300は、RG−ID欄300A、RG構成欄300B、及びDKA−ID欄300Cから構成される。 RAID group management table 300, RG-ID column 300A, RG configuration column 300B, and consists of DKA-ID column 300C.

RG−ID欄300Aには、ストレージシステム1内でRAIDグループを一意に識別可能な識別子、例えばRAIDグループ番号が格納される。 The RG-ID column 300A, uniquely identifiable identifier RAID group in the storage system 1, for example, a RAID group number is stored. RG構成欄300Bには、RG−ID欄300Aに格納された識別子に対応するRAIDグループの構成種類、例えば「3D+1P」、「2D+2D」、「7D+1P」などが格納される。 The RG configuration section 300B, structure type of RAID group corresponding to the identifier stored in the RG-ID field 300A, e.g., "3D + 1P", "2D + 2D", and "7D + 1P" are stored. DKA−ID欄300Cには、RG−ID欄300Aに格納されたRAIDグループ番号(識別子)を有するRAIDグループに属するディスクアダプタ40について、ディスクアダプタ番号(識別子)が少なくとも1つ格納される。 The DKA-ID column 300C, the disk adapter 40 belonging to the RAID group having a RAID group number (identifier) ​​stored in the RG-ID column 300A, the disk adapter number (identifier) ​​is stored at least one.

図8は、図1に示した暗号化管理テーブルの一例を説明する構成図である。 Figure 8 is a block diagram illustrating an example of the encryption management table shown in FIG. 暗号化管理テーブル400は、HDD50に書き込むデータを暗号化するか否かを管理するためのものである。 Encryption management table 400 is for managing whether to encrypt the data to be written to the HDD 50. アダプタ管理テーブル200は、例えば後述の暗号化設定処理S600によって各行(レコード)が登録される。 Adapter management table 200, for example, each row (record) is registered by the encryption setting process S600 described later. また、暗号化管理テーブル400は、RG−ID欄400A、暗号化設定欄400B、及びLDEV−ID欄400Cから構成される。 Further, the encryption management table 400, RG-ID column 400A, encryption setting column 400B, and consists of LDEV-ID column 400C.

RG−ID欄400Aには、ストレージシステム1内でRAIDグループを一意に識別可能な識別子、例えばRAIDグループ番号が格納される。 The RG-ID column 400A, uniquely identifiable identifier RAID group in the storage system 1, for example, a RAID group number is stored. 暗号化設定欄400Bには、RG−ID欄400Aに格納された識別子に対応するRAIDグループに対して、データを暗号化するか否かを示す暗号化状態、例えばデータを暗号化することを示す「ON」、又はデータを暗号化しないことを示す「OFF」が格納される。 The encryption setting column 400B, indicates to the RAID group corresponding to the identifier stored in the RG-ID column 400A, encryption indicating whether to encrypt the data state, to encrypt data, for example "ON", or indicates that no encrypted data "OFF" is stored. LDEV−ID欄400Cには、RG−ID欄400Aに格納されたRAIDグループ番号(識別子)を有するRAIDグループに対応するLDEVについて、ストレージシステム1内でLDEVを一意に識別可能な識別子、例えばLDEV番号が複数格納される。 The LDEV-ID column 400C, the LDEV corresponding to the RAID group having a RAID group number stored in the RG-ID field 400A (identifier) ​​uniquely identifiable identifier LDEV in the storage system 1, for example, the LDEV number There are several stores. なお、以下の説明において、データを暗号化することが設定される(又は設定されている)ことを、単に暗号化が設定される(又は設定されている)といい、データを暗号化しないことが設定される(又は設定されている)ことを、単に暗号化が設定されない(又は設定されていない)という。 In the following description, it is set to encrypt the data that (or configured), simply referred to as encryption is set (or configured), it does not encrypt the data There to be set (or configured), simply not set the encryption (or unconfigured) of.

図9は、図1に示した外部バックアップ情報テーブルの一例を説明する構成図である。 Figure 9 is a block diagram illustrating an example of external backup information table shown in FIG. 外部バックアップ情報テーブル500は、外部装置にバックアップされるデータ暗号鍵を含むバックアップファイルを記憶するためのものである。 External backup information table 500 is for storing a backup file comprising the data encryption key that is backed up to an external device. 外部バックアップ情報テーブル500は、例えば後述の外部バックアップ処理S300によって各行(レコード)が登録される。 External backup information table 500, each row (record) is registered for example by an external backup processing S300 described later. また、外部バックアップ情報テーブル500は装置製番欄500A、外部変換暗号鍵欄500B、及びハッシュ値欄500Cから構成される。 The external backup information table 500 is device manufacturer's serial number column 500A, external conversion encryption key field 500B, and composed of the hash value column 500C.

装置製番欄500Aには、データ暗号鍵のバックアップ先となる外部装置の製造番号、例えば管理端末13の製造番号が格納される。 The device manufacturer's serial number column 500A, serial number of the external device serving as the backup destination data encryption key, for example, production number of the management terminal 13 is stored. 外部変換暗号鍵欄500Bには、データ暗号鍵から生成される後述の外部変換暗号鍵が格納される。 The external conversion encryption key field 500B, external conversion encryption key described later which is generated from the data encryption key is stored. ハッシュ値欄500Cには、外部変換暗号鍵欄500Bに格納される外部変換暗号鍵に対応するハッシュ値が格納される。 The hash value field 500C, a hash value corresponding to the external conversion encryption key stored in the external conversion encryption key field 500B is stored.

本実施形態では、ストレージ装置20内に暗号化ディスクアダプタ40が複数存在する場合でも、各暗号化ディスクアダプタ40で1つのデータ暗号鍵を共通して用いるようにするが、これに限定されず、暗号化ディスクアダプタ40ごとに異なるデータ暗号鍵を用いるようにしてもよいし、ストレージ装置20を複数のパーティションに分割して使用し、パーティションごとに異なるデータ暗号鍵を用いるようにしてもよい。 In the present embodiment, even if the encryption disk adapter 40 in the storage device 20 there are a plurality, although such use commonly one data encryption key for each encrypted disk adapter 40 is not limited to this, it may be used with different data encryption key for each encrypted disk adapter 40, used to divide the storage device 20 into a plurality of partitions, it may be used different data encryption key for each partition. かかる場合には、外部バックアップ情報テーブル500は複数の行(レコード)が登録される。 In such a case, the external backup information table 500 is a plurality of rows (records) are registered.

次に、図10乃至図23を参照しながらストレージ装置20の動作について説明する。 Next, the operation of the storage device 20 will be described with reference to FIGS. 10 to 23.

図10は、図1に示したディスクアダプタを登録する動作を説明するフローチャートである。 Figure 10 is a flow chart for explaining an operation of registering the disk adapter shown in FIG. 例えばストレージ装置20に新たにディスクアダプタ40が搭載されると、SVP22は図10に示すディスクアダプタ登録処理S100を実行する。 For example, when a new disk adapter 40 in the storage device 20 is mounted, SVP 22 executes the disk adapter registration processing S100 shown in FIG. 10.

すなわちSVP22は、全てのディスクアダプタ40から所定の情報を収集し、収集された所定の情報に基づいて、新たに搭載されたディスクアダプタ40にディスクアダプタ番号(識別子)を割り当てる(S101)。 That SVP22 collects predetermined information from all of the disk adapter 40, based on the collected predetermined information, allocating disk adapter number (identifier) ​​to the disk adapter 40 newly mounted (S101). 次いで、SVP22は、収集された所定の情報に基づいて、新たに搭載されたディスクアダプタ40が暗号化ディスクアダプタか否かを判定する(S102)。 Then, SVP 22, based on the collected predetermined information, the newly mounted disk adapter 40 judges whether encrypted disk adapter (S102). なお、ディスクアダプタ40が暗号化・復号化回路70を備える場合に暗号化ディスクアダプタであると判定し、ディスクアダプタ40が暗号化・復号化回路70を備えていない場合に暗号化ディスクアダプタでないと判定する。 Incidentally, it is determined that the disk adapter 40 is encrypted disk adapter when equipped with encryption and decryption circuit 70, the disk adapter 40 is not encrypted disk adapter when not provided with the encryption and decryption circuit 70 judge.

S102の判定の結果、暗号化ディスクアダプタであるときに、SVP22は、共有メモリ24に記憶されるディススクアダプタ管理テーブル200において、S101の処理で割当てたディスクアダプタ番号(識別子)を、DKA−ID欄200Aに格納するとともに、「暗号化対応」をDKA種別欄200Bに格納し(S103)、行(レコード)を登録する。 The result of the determination in S102, when it is encrypted disk adapter, SVP 22 is in the disk disk adapter management table 200 stored in the shared memory 24, the disk adapter number assigned in the process of S101 (the identifier), DKA-ID stores in the column 200A, stores "encryption enabled" to DKA type column 200B (S103), and registers the line (record). S103の処理後、SVP22はディスクアダプタ登録処理S100を終了する。 After the processing of S103, SVP 22 terminates the disk adapter registration process S100.

一方、S102の判定の結果、ディスクアダプタ40が暗号化対応でないと判定したときに、SVP22は、共有メモリ24に記憶されるディススクアダプタ管理テーブル200において、S101の処理で割り当てたディスクアダプタ40のディスクアダプタ番号(識別子)をDKA−ID欄200Aに格納するとともに、「暗号化非対応」をDKA種別欄200Bに格納し(S104)、行(レコード)を追加する。 On the other hand, the result of the determination in S102, when the disk adapter 40 is determined not to be encrypted correspondence, SVP 22 is in the disk disk adapter management table 200 stored in the shared memory 24, the disk adapter 40 allocated in the processing of S101 stores the disk adapter number (identifier) ​​to DKA-ID column 200A, adds "encryption incompatible" was stored in the DKA type column 200B (the S104), the line (record). S104の処理後、SVP22はディスクアダプタ登録処理S100を終了する。 After the processing of S104, SVP 22 terminates the disk adapter registration process S100.

本実施形態では、SVP22がディスクアダプタ40のディスクアダプタ番号(識別子)を割り当てるようにしたが、これに限定されず、ディスクアダプタ40のディスクアダプタ番号(識別子)を管理端末13から入力するようにしてもよい。 In the present embodiment, SVP 22 has had to allocate disk adapter number of the disk adapter 40 (identifier), the present invention is not limited thereto, so as to enter the disk adapter number of the disk adapter 40 (identifier) ​​from the management terminal 13 it may be. また、ディスクアダプタ登録処理S100は新たにディスクアダプタ40が搭載される場合に限定されず、ディスクアダプタ40の初期登録時、又は既存のディスクアダプタ40に暗号化・復号化回路70が付加される場合に実行するようにしてもよい。 Further, if the disk adapter registration process S100 is not newly limited to the case where the disk adapter 40 is mounted, during the initial registration of the disk adapter 40, or the encryption and decryption circuit 70 is added to an existing disk adapters 40 it may be executed in.

図11は、データ暗号鍵をストレージ装置内にバックアップする動作を説明するフローチャートである。 Figure 11 is a flowchart illustrating an operation for backing up data encryption key in the storage device. 例えばSVP22から暗号化対応ディスクアダプタ40に、前述のデータ暗号鍵の生成要求が入力されると、暗号化対応ディスクアダプタ40のMP41は図11に示す内部バックアップ処理S200を実行する。 For example, encryption corresponding disk adapter 40 from SVP 22, the aforementioned data encryption key generation request is inputted, MP41 encryption corresponding disk adapter 40 executes the internal backup processing S200 shown in FIG. 11.

すなわちMP41は、乱数発生機能による乱数を発生させ、当該乱数をデータ暗号鍵として生成する(S201)。 That MP41 generates a random number by random number generation function to generate the random number as the data encryption key (S201). 本実施形態では、乱数発生機能による乱数を用いてデータ暗号鍵を生成したが、これに限定されず、他の方法でデータ暗号鍵を生成してもよい。 In the present embodiment, to generate the data encryption key using a random number by random number generating function, without being limited thereto, may generate the data encryption key in other ways.

次にMP41は、S201の処理で生成したデータ暗号鍵を、LM42に記憶される内部用暗号鍵を用いて暗号化し、内部変換暗号鍵を生成する(S202)。 Then MP41 is a data encryption key generated in the process of S201, it encrypted using the internal encryption key stored in the LM42, to generate an internal conversion encryption key (S202). 次いでMP41は、S202の処理で生成した内部変換暗号鍵を共有メモリ24に格納する(S203)。 Then MP41 stores internal conversion encryption key generated by the processing of S202 in the shared memory 24 (S203). 本実施形態では、安全性を高めるために内部変換暗号鍵を生成して共有メモリ24に格納したが、これに限定されず、データ暗号鍵をそのまま共有メモリ24に格納してもよい。 In the present embodiment it has been stored in the shared memory 24 and generates an internal conversion encryption key in order to improve safety, without being limited thereto, may store data encryption key as it is to a shared memory 24.

これとともにMP41は、S202の処理で生成した内部変換暗号鍵を自己の暗号化対応ディスクアダプタ40内のFM44に格納する(S204)。 This together with the MP41 stores internal conversion encryption key generated by the processing of S202 to FM44 self encryption corresponding disk adapter within 40 (S204). これにより、内部変換暗号鍵(データ暗号鍵)がストレージ装置20内の不揮発媒体にバックアップされる。 Accordingly, internal conversion encryption key (data encryption key) are backed up in a nonvolatile medium in the storage device 20. これにより、共有メモリ24に格納された内部変換暗号鍵が失われた場合でもFM44からリストアすることができ、データの暗号化に用いるデータ暗号鍵を安全に管理することができる。 Thus, the shared internal conversion encryption key stored in the memory 24 can be restored from FM44 even if lost, can securely manage the data encryption key used to encrypt the data.

S204の処理後、MP41は内部バックアップ処理S200を終了する。 After the processing of S204, MP41 ends the internal backup processing S200.

図12は、データ暗号鍵をストレージ装置外にバックアップする動作を説明するフローチャートである。 Figure 12 is a flowchart illustrating an operation for backing up data encryption key to the outside of the storage device. 例えば管理端末13からネットワーク12を介し、パスワードを指定した、データ暗号鍵の外部バックアップ要求が送信されると、SVP22は受信した外部バックアップ要求を共有メモリ24に格納する。 For example through the network 12 from the management terminal 13, and a password, the external backup request data encryption key is transmitted, SVP 22 stores an external backup request received in the shared memory 24. 暗号化ディスクアダプタ40が共有メモリ24を参照して未処理の外部バックアップ要求を見つけると、当該暗号化ディスクアダプタ40のMP41は図12に示す外部バックアップ処理S300を実行する。 When encrypted disk adapter 40 finds a reference to an external backup request outstanding shared memory 24, MP41 of the encrypted disk adapter 40 performs the external backup processing S300 shown in FIG. 12.

すなわち暗号化ディスクアダプタ40のMP41は、共有メモリ24に記憶された内部変換暗号鍵を取得し(S301)、取得した内部変換暗号鍵をLM42に記憶される内部用暗号鍵を用いてデータ暗号鍵に復号化する(S302)。 That MP41 of encrypted disk adapter 40 acquires the internal conversion encryption key stored in the shared memory 24 (S301), the data encryption key using the internal encryption key stored inside transform encryption key acquired in LM42 decoding the (S302).

次にMP41は、指定されたパスワードから外部用暗号鍵を生成し(S303)、S302の処理で復号化したデータ暗号鍵を、S303の処理で生成した外部用暗号鍵を用いて暗号化し、外部変換暗号鍵を生成する(S304)。 Then MP41 generates an external encryption key from the specified password (S303), the data encryption key decrypted by the processing in S302, with the encryption key for external generated in the process of S303, the external generating conversion encryption key (S304). 次いでMP41は、ハッシュ関数を用いて外部変換暗号鍵に対応するハッシュ値を算出する(S305)。 Then MP41 calculates a hash value corresponding to the external conversion encryption key using a hash function (S305). 次いでMP41は、共有メモリ24に記憶される外部バックアップ情報テーブル500において、外部バックアップ要求を送信した管理端末13の製造番号を装置製番欄500Aに格納し、S304の処理で生成した外部変換暗号鍵を外部変換暗号鍵欄500Bに格納し、S305の処理で算出したハッシュ値をハッシュ値欄500Cに格納して行(レコード)を登録する(S306)。 Then MP41 is in an external backup information table 500 stored in the shared memory 24, external conversion encryption key stored production number of the management terminal 13 that has transmitted the external backup request to the device manufacturer's serial number field 500A, and produced in the process at S304 It was stored in the external conversion encryption key field 500B, and stores the hash value calculated in the processing of S305 in the hash value field 500C registers the line (record) (S306).

次にMP41は、管理端末13の製造番号、外部変換暗号鍵、及びハッシュ値を含むバックアップファイルを作成してSVP22に出力し(S307)、MP41は外部バックアップ処理S300を終了する。 Then MP41 is the production number of the management terminal 13, and outputs the SVP22 make a backup file containing external conversion encryption key, and the hash value (S307), MP41 ends the external backup processing S300. SVP22に入力されたバックアップファイルは、ネットワーク12を介して管理端末13に送信される。 Backup input to SVP22 file is transmitted to the management terminal 13 via the network 12. これにより、外部変換暗号鍵(データ暗号鍵)がストレージ装置20外の管理端末13にバックアップされる。 Thus, external conversion encryption key (data encryption key) is backed up to the management terminal 13 outside the storage device 20. これにより、ストレージ装置20内の外部変換暗号鍵が失われた場合でも外部の装置である管理端末13からリストアすることができ、データの暗号化に用いるデータ暗号鍵を安全に管理することができる。 Thus, external conversion encryption key in the storage device 20 can be restored from the management terminal 13 which is an external device even if lost, can securely manage the data encryption key used to encrypt data .

本実施形態では、安全性を高めるために外部変換暗号鍵を生成して外部バックアップ情報テーブル500に格納するとともに、外部装置にバックアップするようにしたが、これに限定されず、データ暗号鍵をそのまま外部バックアップ情報テーブル500に格納するとともに、外部装置にバックアップするようにしてもよい。 In the present embodiment, stores the external backup information table 500 to generate an external conversion encryption key in order to improve safety, has been to back to the external device it is not limited thereto, as it is data encryption key stores the external backup information table 500 may be backed up to an external device. かかる場合には、データ暗号鍵に対応するハッシュ値を算出する。 In such a case, to calculate a hash value corresponding to the data encryption key. また、安全性を高めるために外部変換暗号鍵に加え、管理端末13の製造番号及びハッシュ値を外部バックアップ情報テーブル500に格納するとともに、外部装置にバックアップするようにしたが、これに限定されず、管理端末13の製造番号及びハッシュ値の両方ともなくてもよいし、何れか一方のみでもよい。 In addition to external conversion encryption key in order to improve safety, stores the manufacturing number and the hash value of the management terminal 13 to the external backup information table 500, it has been to back to the external device is not limited thereto it may be without both the serial number and the hash value of the management terminal 13, either may be only one.

なお、ストレージ装置20内に暗号化ディスクアダプタ40が複数存在する場合には、共有メモリ24を参照して未処理の外部バックアップ要求を見つけた最初の暗号化ディスクアダプタ40のMP41が、外部バックアップ処理S300を実行すればよい。 In the case where the encrypted disk adapter 40 there are a plurality in the storage device 20, MP41 is, external backup process of the first encrypted disk adapter 40 finds the outstanding external backup request with reference to the shared memory 24 S300 may be the execution.

図13は、データ暗号鍵をストレージ装置内からリストアする動作を説明するフローチャートである。 Figure 13 is a flowchart illustrating an operation to restore the data encryption key from the storage device. 一般に、共有メモリ24は揮発性メモリであるため、バッテリなどを備えない限り、ストレージ装置20の電源が切断されたり、停電したりすると、共有メモリ24に記憶していたデータが消失する。 In general, the shared memory 24 is a volatile memory, unless provided with a battery, or power to the storage device 20 is disconnected, the or a power failure, data stored in the shared memory 24 is lost. そのため、ストレージ装置20の電源が投入され起動したときに、共有メモリ24の内部変換暗号鍵が消えているか否かを確認する必要がある。 Therefore, when the power of the storage device 20 is started is turned on, it is necessary to check whether or not the internal conversion encryption key of the shared memory 24 is off. 例えばストレージ装置20が起動されると、暗号化ディスクアダプタ40のMP41は図13に示す内部リストア処理S400を実行する。 For example, the storage device 20 is activated, MP41 of encrypted disk adapter 40 executes internal restoration processing S400 shown in FIG. 13.

すなわち暗号化ディスクアダプタ40のMP41は、共有メモリ24を参照して内部変換暗号鍵が消えているか否かを判定する(S401)。 That MP41 of encrypted disk adapter 40 judges whether or not the internal conversion encryption key by referring to the shared memory 24 has disappeared (S401). なお、共有メモリ24の内部変換暗号鍵が消えているか否かは、例えばECC(Error Check and Correct)回路などを用いてアンコレクタブルエラーが応答されるか否かに基づいて判定する。 Note that determines sharing whether internal conversion encryption key memory 24 is off, for example, based on whether or not an uncorrectable error is responded by using a ECC (Error Check and Correct) circuit.

S401の判定の結果、内部変換暗号鍵が消えている場合に、MP41はFM42に記憶される内部変換暗号鍵を取得する(S402)。 The result of the determination in S401, if the internal conversion encryption key is off, MP41 obtains the internal conversion encryption key stored in the FM42 (S402). 次いでMP41はS402で取得した内部変換暗号鍵を共有メモリ24内の参照用領域に格納する(S403)。 Then MP41 stores internal conversion encryption key acquired in S402 to the reference area of ​​the shared memory 24 (S403). なお、ストレージ装置20内に暗号化ディスクアダプタ40が複数存在する場合に、S402及びS403の処理は全ての暗号化ディスクアダプタ40のMP41で行う。 In the case where the encrypted disk adapter 40 there are a plurality in the storage device 20, the processing of S402 and S403 are performed in MP41 all encrypted disk adapter 40.

次に、何れか1つのディスクアダプタ40のMP41は、共有メモリ24内の参照用領域を参照し、複数の内部変換暗号鍵の中から対象となる内部変換暗号鍵を選出する(S404)。 Next, MP41 of any one disk adapter 40 refers to the reference area in the shared memory 24, it selects the internal conversion encryption key to be from a plurality of internal conversion encryption key (S404). なお、選出方法は、多数決や内部変換暗号鍵の生成時刻が最新のものを選出するなどの方法が用いられる。 Note that selection methods, methods such as generation time of the majority or internal conversion encryption key selects the latest is used. また、ストレージ装置20内に暗号化ディスクアダプタ40が1つしか存在しない場合に、S404の処理は不要となる。 Further, when the encrypted disk adapter 40 in the storage device 20 there is only one, the processing of S404 is not required.

次に、MP41はS404の処理で選出された内部変換暗号鍵を共有メモリ24に格納する(S405)。 Then, MP41 stores internal conversion encryption key elected in the processing of S404 in the shared memory 24 (S405). これにより、ストレージ装置20内の内部変換暗号鍵(データ暗号鍵)が共有メモリ24にリストアされる。 Accordingly, internal conversion encryption key in the storage device 20 (data encryption key) is restored to the shared memory 24.

S405の処理後、MP41は内部リストア処理S400を終了する。 After the processing of S405, MP41 ends the internal restore processing S400.

一方、S401の判定の結果、内部変換暗号鍵が記憶されている場合には、内部変換暗号鍵をリストアする必要がないため、MP41は何も行わずに内部リストア処理S400を終了する。 On the other hand, the result of the determination in S401, if the internal conversion encryption key is stored, there is no need to restore the internal conversion encryption key, MP41 ends the internal restoration processing S400 without performing anything.

図14は、データ暗号鍵をストレージ装置外からリストアする動作を説明するフローチャートである。 Figure 14 is a flowchart illustrating an operation to restore the data encryption key from the outside of the storage device. 管理端末13からネットワーク12を介し、バックアップファイルと、パスワードを指定した、データ暗号鍵の外部リストア要求とが送信されると、SVP22は受信した外部リストア要求を共有メモリ24に格納するとともに、バックアップファイルをキャッシュメモリ23に格納する。 Via the network 12 from the management terminal 13, and the backup file, and a password, along with the an external restore request data encryption key is transmitted, SVP 22 stores external restoration request received in the shared memory 24, the backup file to store in the cache memory 23. 暗号化ディスクアダプタ40が共有メモリ24を参照して未処理の外部リストア要求を見つけると、当該暗号化ディスクアダプタ40のMP41は図14に示す外部リストア処理S500を実行する。 When encrypted disk adapter 40 finds the outstanding external restoration request by referring to the shared memory 24, MP41 of the encrypted disk adapter 40 performs the external restoration processing S500 shown in FIG. 14.

すなわち暗号化ディスクアダプタ40のMP41は、指定されたパスワードから外部用暗号鍵を生成する(S501)。 That MP41 of encrypted disk adapter 40 generates an external encryption key from the specified password (S501). 次いでMP41は、キャッシュメモリ23に記憶されるバックアップファイルに含まれる外部変換暗号鍵を、S501の処理で生成した外部用暗号鍵を用いてデータ暗号鍵に復号化する(S502)。 Then MP41 is an external conversion encryption key included in the backup file that is stored in the cache memory 23, it decrypts the data encryption key using the external encryption key generated in the process of S501 (S502).

次にMP41は、共有メモリ24に記憶される外部バックアップ情報テーブル500において、キャッシュメモリ23に記憶されるバックアップファイルに含まれるハッシュ値と、ハッシュ値欄500Cに格納された値とが一致するか否かを判定する(S503)。 Then MP41 is shared in an external backup information table 500 stored in the memory 24, whether the hash value included in the backup file is stored in the cache memory 23, the value stored in the hash value field 500C matches It determines whether or not (S503). これにより、外部変換暗号鍵(データ暗号鍵)の破損を検出することができる。 Thus, it is possible to detect the breakage of the external conversion encryption key (data encryption key).

S503の判定の結果、ハッシュ値が一致する場合に、キャッシュメモリ23に記憶されるバックアップファイルに含まれる装置製番と装置製番欄500Aに格納された製造番号とが一致するか否かを判定する(S504)。 The result of the determination in S503, if the hash values ​​match, determine whether the serial number stored device manufacturer's serial number and the device manufacturer's serial number field 500A that is included in the backup file is stored in the cache memory 23 matches to (S504). これにより、リストア元となる外部装置の誤りを検出することができる。 Thus, it is possible to detect an error of the external device serving as the restore source.

S504の判定の結果、装置製番が一致する場合に、バックアップファイルに含まれる外部変換暗号鍵が適正であるとして、MP41は、S502の処理で復号化したデータ暗号鍵を、LM42に記憶される内部用暗号鍵で暗号化して内部変換暗号鍵を生成する(S505)。 The result of the determination in S504, if the device manufacturer's serial number matches, as external conversion encryption key is proper to be included in the backup file, MP41 is a data encryption key decrypted by the processing in S502, it is stored in LM42 encrypted with internal encryption key to generate an internal conversion encryption key (S505). 次いでMP41は、S505の処理で生成した内部変換暗号鍵を共有メモリ24に格納する(S506)。 Then MP41 stores internal conversion encryption key generated by the processing of S505 in the shared memory 24 (S506). これにより、ストレージ装置20外の外部変換暗号鍵(データ暗号鍵)が共有メモリ24にリストアされる。 Thus, external conversion encryption key outside the storage device 20 (data encryption key) is restored to the shared memory 24.

S506の処理後、MP41は正常終了をSVPに出力して外部リストア処理S500を終了する。 After the processing of S506, MP41 ends the external restore processing S500 to output the normal end to the SVP. SVP22は、受信した外部リストア要求の正常終了を示す応答をネットワーク12を介して管理端末13に送信する。 SVP22 sends a response indicating successful completion of the received external restoration request to the management terminal 13 via the network 12.

一方、S503の判定の結果、ハッシュ値が一致しない場合、又はS504の判定の結果、装置製番が一致しない場合に、MP41は異常終了をSVPに出力し(S507)、MP41は外部リストア処理S500を終了する。 On the other hand, the result of the determination in S503, if the hash values ​​do not match, or the result of the determination in S504, if the device manufacturer's serial number does not match, MP41 outputs of abnormal termination to the SVP (S507), MP41 external restore process S500 to end the. SVP22は、受信した外部リストア要求の異常終了を示す応答を、ネットワーク12を介して管理端末13に送信する。 SVP22 transmits a response indicating an abnormal end of the received external restoration request, the management terminal 13 via the network 12.

なお、ストレージ装置20内に暗号化ディスクアダプタ40が複数存在する場合には、前述の外部バックアップ処理S300と同様に、共有メモリ24を参照して未処理の外部リストア要求を見つけた最初の暗号化ディスクアダプタ40のMP41が、外部リストア処理S500を実行すればよい。 In the case where the encrypted disk adapter 40 there are a plurality in the storage device 20, like the external backup processing S300 described above, the first encryption finds a reference to an external restoring outstanding requests shared memory 24 MP41 of the disk adapter 40, may be executed outside the restore process S500.

図15は、図1に示したディスクアダプタの暗号化状態を設定する動作を説明するフローチャートである。 Figure 15 is a flowchart for explaining the operation of setting the encryption status of the disk adapter shown in FIG. 例えば管理端末13からネットワーク12を介してRAIDグループ番号(識別子)を指定した設定変更要求が送信されると、SVP22は図15に示す暗号化設定処理S600を実行する。 For example, if the setting change specifying the RAID group number (identifier) ​​from the management terminal 13 via the network 12 a request is sent, SVP 22 performs encryption setting process S600 of FIG. 15.

すなわち設定変更要求を受信したSVP22は、共有メモリ24に記憶されるRAIDグループ管理テーブル300において、指定されたRAIDグループ番号(識別子)がRG−ID欄300Aに格納された行(レコード)を読み出し、当該行(レコード)のDKA−ID欄300Cに格納されたディスクアダプタ番号(識別子)を取得する(S601)。 SVP22 that has received the setting change request that is read in the RAID group management table 300 stored in the shared memory 24, specified RAID group number (identifier) ​​is stored in the RG-ID field 300A rows (records), It obtains the row DKA-ID field 300C in the storage disk adapter number (record) (identifier) ​​(S601). なお、RAIDグループを構成する複数のHDD50は少なくとも1つのディスクアダプタ40に接続されるので、通常、S601の処理では複数のディスクアダプタ番号(識別子)が取得される。 Since a plurality of HDD50 constituting the RAID group is connected to at least one disk adapter 40, typically, it is acquired a plurality of disk adapter number (identifier) ​​in the processing in S601.

次にSVP22は、共有メモリ24に記憶されるディススクアダプタ管理テーブル200において、S601の処理で取得したディスクアダプタ番号(識別子)がDKA−ID欄200Aに格納された行(レコード)を全て読み出し、当該行(レコード)のDKA−種別欄200Bに全て「暗号化対応」が格納されているか否かを判定する(S602)。 Then SVP22, in disk disk adapter management table 200 stored in the shared memory 24, reads all lines acquired disk adapter number (identifier) ​​is stored in the DKA-ID field 200A in the processing of S601 (record), It determines whether all "encryption enabled" is stored in the DKA- type column 200B of the line (record) (S602).

S602の判定の結果、全て「暗号化対応」が格納されている場合に、SVP22は、送信された設定変更要求の許可を示す応答を、ネットワーク12を介して管理端末13に送信する(S603)。 S602 of the determination result, when all "Encryption enabled" is stored, SVP 22 sends a response indicating permission of the transmitted setting change request, the management terminal 13 via the network 12 (S603) .

設定変更要求の許可を示す応答を受信した管理端末13は、最初に指定したRAIDグループに対する暗号化設定を「ON」又は「OFF」に指定可能な所定の画面を表示する。 The management terminal 13 receives a response indicating permission setting change request, the first encryption settings for RAID group specified to display the "ON" or given that can be specified in the "OFF" screen. 管理者は当該RAIDグループに対する暗号化状態を指定し、管理端末13はネットワーク12を介してRAIDグループ番号(識別子)及び暗号化設定を指定した暗号化設定要求を送信する。 The administrator specifies the encryption state for the RAID group, the management terminal 13 transmits the encryption setting request specifying RAID group number (identifier) ​​and encryption set via the network 12.

暗号化設定要求を受信したSVP22は、共有メモリ23に記憶された暗号化管理テーブル400において、指定されたRAIDグループ番号(識別子)がRG−ID欄400Aに格納された行(レコード)を読み出し、当該行(レコード)の暗号化設定欄400Bに指定された暗号化状態、すなわち「ON」又は「OFF」を格納して当該行(レコード)を更新し、更新された行(レコード)を共有メモリ24に記憶される暗号化管理テーブル400に書き込む(S604)。 SVP22 which has received the encrypted setting request reads the encryption management table 400 stored in the shared memory 23, specified RAID group number (identifier) ​​is stored in the RG-ID field 400A rows (records), the line (record) encryption setting column 400B specified encryption state of, that is, stores "oN" or "OFF" to update the rows (records), share the updated rows (records) the memory writing the encryption management table 400 stored in the 24 (S604). このように、RAIDグループに対して暗号化状態が設定されるので、RAIDグループを構成するHDD50はデータを暗号して格納されるか、又はデータを暗号化せずに格納されるかの何れか一方のみとなり、1つのHDD50内に暗号化されたデータが記憶される暗号化領域と、暗号されないデータが記憶される非暗号化領域とが混在することがない。 Thus, since the encryption state is set for the RAID group, either a HDD50 constituting the RAID group is stored or is stored in an encrypted data, or the data without encrypting one only becomes, never the encryption region encrypted data is stored, and the non-encrypted area that is not encrypted data is stored coexist in a single HDD 50. これにより、HDD50の盗難や持ち出しなどによるデータ漏えいを防止することができる。 Thus, it is possible to prevent data loss due to theft or taking out of the HDD 50.

S604の処理後、SVP22は暗号化設定処理S600を終了する。 After the processing of S604, SVP22 ends the encryption setting process S600.

一方、S602の判定の結果、少なくとも1つに「暗号化対応」が格納されていない場合に、SVP22は送信された設定変更要求の禁止を示す応答を、ネットワーク12を介して管理端末13に送信する(S605)。 On the other hand, the transmission result of the determination in S602, if not stored "Encryption enabled" at least one, SVP 22 a response indicating prohibition of the transmitted setting change request to the management terminal 13 via the network 12 to (S605). S605の処理後、SVP22は暗号化設定処理S600を終了する。 After the processing of S605, SVP22 ends the encryption setting process S600.

設定変更要求の禁止を示す応答を受信した管理端末13は、最初に指定したRAIDグループに対する暗号化状態を変更不能である旨の所定の画面を表示する。 The management terminal 13 which has received the response indicating prohibition of setting change request, displays a first predetermined screen indicating that the unalterable encryption state for RAID group specified.

暗号化設定処理S600の終了後、SVP22は、LDEV単位に暗号化状態を表示することが可能となる。 After completion of the encryption setting process S600, SVP 22 is able to view encrypted state LDEV units.

すなわち、例えばネットワーク12を介してLDEV番号(識別子)を指定した暗号化状態要求が管理端末13から送信されると、SVP22は、共有メモリ23に記憶された暗号化管理テーブル400において、指定されたLDEV番号(識別子)がLDEV−ID欄400Cに格納された行(レコード)を読み出す。 That is, for example, encryption status request specifying the LDEV number (identifier) ​​via the network 12 is transmitted from the management terminal 13, SVP 22 is in the encryption management table 400 stored in the shared memory 23, designated LDEV number (identifier) ​​reads the rows (records) that have been stored in the LDEV-ID column 400C. 次いで、SVP22は、当該行(レコード)の暗号化設定欄400Bに格納された暗号化状態を応答として、ネットワーク12を介して管理端末13に送信する。 Then, SVP 22 sends the encrypted state stored in the encryption setting field 400B of the line (record) as a response to the management terminal 13 via the network 12. 管理端末13は、指定したLDEVの暗号化状態をモニタなどに表示する。 The management terminal 13 displays the encryption state of the specified LDEV on a monitor or the like. このように、RAIDグループに設定された暗号化状態に基づいて、RAIDグループに属するLDEVの暗号化状態が表示されるので、例えば後述のデータマイグレーションやデータコピーなどの操作を行う際に、管理者はLDEVごとに暗号化状態を知ることができる。 Thus, based on the encrypted state belonging to the RAID group, the encryption state of the LDEV belonging to the RAID group is displayed, for example, when performing operations such as data migration and data replication will be described later, the administrator You can know the encryption state for each LDEV.

図16は、図1に示したディスクアダプタがHDDにデータを書き込む動作を説明するフローチャートである。 Figure 16 is a flowchart disk adapter shown in FIG. 1 will be described operation of writing data the HDD. 例えばホスト計算機10から通信ネットワーク11を介してライトデータ及びライトコマンドが送信されると、前述のように、チャネルアダプタ30は受信したライトデータをキャッシュメモリ23に格納するとともに、受信したライトコマンドを共有メモリ24に格納する。 For example, when the write data and the write command via the communications network 11 from the host computer 10 is transmitted, shared, as described above, along with the channel adapter 30 stores the write data received in the cache memory 23, the write command received and stores it in the memory 24. ディスクアダプタ40は共有メモリ24を参照しており、共有メモリ24に格納されたライトコマンドが自己に対するライトコマンドであるときに、すなわちライトコマンドに指定された論理アドレスを物理アドレスに変換し、変換された物理アドレスが接続されているHDD50に対応する場合に、当該ディスクアダプタ40のMP41は図16に示すライト処理S700を実行する。 The disk adapter 40 is with reference to the shared memory 24, when the stored write command in the shared memory 24 is a write command to the self, i.e. converts the logical address specified in the write command into a physical address, it is converted If the physical address corresponding to the HDD50 connected, MP41 of the disk adapter 40 executes the write processing S700 shown in FIG. 16.

すなわち、MP41は、共有メモリ24に記憶される暗号化管理テーブル400において、ライトコマンドに含まれるライトデータの格納先であるLDEVのLDEV番号(識別子)が、LDEV−ID欄400Cに格納された行(レコード)を読み出し、当該行(レコード)のRG−ID欄400Aに格納されたRAIDグループ番号(識別子)を取得する(S701)。 That is, the line MP41 is in the encryption management table 400 stored in the shared memory 24, a storage destination of the write data contained in the write command LDEV of the LDEV number (identifier), which is stored in the LDEV-ID column 400C It reads (records), and acquires the RAID group number (identifier) ​​stored in the RG-ID field 400A of the line (record) (S701). 次いで、MP41は、当該行(レコード)の暗号化設定欄400Bに格納された情報に基づいて、暗号化が設定されているか否かを判定する(S702)。 Then, MP41, based on the line information stored in the encryption setting field 400B of (record), and determines whether encryption is set (S702). なお、暗号化設定欄400Bが「ON」ならば暗号化が設定されていると判定し、暗号化設定欄400Bが「OFF」ならば暗号化が設定されていないと判定する。 Incidentally, it is determined that the encryption setting field 400B is determined to be set if encryption "ON", the encryption setting field 400B is "OFF" if the encryption is not set.

S702の判定の結果、暗号化が設定されている場合に、MP41は共有メモリ24に記憶される内部変換暗号鍵を取得する(S703)。 The result of the determination in S702, if the encryption is set, MP41 obtains the internal conversion encryption key stored in the shared memory 24 (S703). 次いでMP41は、内部変換暗号鍵を取得できたか否かを判定する(S704)。 Then MP41 determines whether to retrieve the internal conversion encryption key (S704).

S704の判定の結果、内部変換暗号鍵を取得できた場合に、MP41は取得した内部変換暗号鍵をLM42に記憶される内部用暗号鍵を用いてデータ暗号鍵に復号化する(S705)。 The result of the determination in S704, if was acquired internal conversion encryption key, MP41 decodes the data encryption key using the internal encryption key stored inside transform encryption key acquired in LM42 (S705). 次いでMP41は、S705で復号化したデータ暗号鍵をパラメータに設定し、当該パラメータをLM42に格納する(S706)。 Then MP41 sets the data encryption key decrypted in step S705 to the parameter and stores the parameters in LM42 (S706).

次に、前述したデステージングと同様に、FCA60内の内部コントローラ62はパラメータ制御部61などに指示を出力し、パラメータ制御部61はLM42に記憶されるパラメータをキャッシュリード制御部64に出力する。 Then, similarly to the destaging described above, the internal controller 62 in FCA60 outputs an instruction to the like parameter control unit 61, a parameter control unit 61 outputs the parameters stored in the LM42 the cache read control unit 64. 次いで内部コントローラ62はキャッシュリード制御部64などに指示を出力し、キャッシュリード制御部64は、S707の処理で入力されたパラメータに含まれるデータ暗号鍵と、キャッシュメモリ23に記憶されるライトデータとを、暗号化・複号化回路70に出力する(S707)。 The internal controller 62 then outputs an instruction to such cache read control unit 64, the cache read control unit 64 includes a data encryption key included in the parameters entered in the processing of S707, the write data stored in the cache memory 23 and outputs the encryption-decryption circuit 70 (S707).

暗号化・複号化回路70は、データ暗号鍵を用いてライトデータを暗号化する(S708)。 Encryption and decryption circuit 70 encrypts the write data using a data encryption key (S 708). 次いで暗号化・複号化回路70は、暗号化されたライトデータをキャッシュリード制御部64に出力し、キャッシュリード制御部64は入力された暗号化されたライトデータをHDD50に格納する(S709)。 Then the encryption-decryption circuit 70 outputs the encrypted write data in the cache read control unit 64, the cache read control unit 64 stores the write data encrypted input to HDD 50 (S709) . これにより、RAIDグループに設定された暗号化状態に基づいて、暗号化されたデータがHDD50に書き込まれる。 Thus, based on the encrypted state belonging to the RAID group, the encrypted data is written into the HDD 50.

S710の処理後、MP41はライト処理S700を終了する。 After the processing of S710, MP41 ends the write processing S700.

一方、S702の判定の結果、暗号化が設定されていない場合に、MP41は、所定のパラメータを設定し、当該パラメータをLM42に格納する(S710)。 On the other hand, the result of the determination in S702, if the encryption is not set, MP41 sets a predetermined parameter, and stores the parameters in LM42 (S710).

次に、前述したデステージングと同様に、FCA60内の内部コントローラ62はパラメータ制御部61などに指示を出力し、パラメータ制御部61はLM42に記憶されるパラメータをキャッシュリード制御部64に出力する。 Then, similarly to the destaging described above, the internal controller 62 in FCA60 outputs an instruction to the like parameter control unit 61, a parameter control unit 61 outputs the parameters stored in the LM42 the cache read control unit 64. 次いで内部コントローラ62はキャッシュリード制御部64などに指示を出力し、キャッシュリード制御部64は、S712の処理で入力されたパラメータに基づいて、キャッシュメモリ23に記憶されるライトデータをHDD50に格納する(S711)。 The internal controller 62 then outputs an instruction to such cache read control unit 64, the cache read control unit 64, based on the parameters entered in the processing of S712, and stores the write data stored in the cache memory 23 to the HDD50 (S711). これにより、RAIDグループに設定された暗号化状態に基づいて、暗号化されないデータがHDD50に書き込まれる。 Thus, based on the encrypted state belonging to the RAID group, data that is not encrypted it is written in the HDD 50.

S711の処理後、MP41はライト処理S700を終了する。 After the processing of S711, MP41 ends the write processing S700.

一方、S704の判定の結果、内部変換暗号鍵を取得できなかった場合に、MP41は、チャネルアダプタ30を介し、ライトコマンドを送信したホスト計算機10にライトエラーを応答する(S712)。 On the other hand, the result of the determination in S704, if it can not obtain the internal conversion encryption key, MP41 is via a channel adapter 30 responds to write error to the host computer 10 which sent the write command (S712). 次いでMP41は、共有メモリ24に記憶されるLDEVを管理する情報において、S701で取得したRAIDグループ番号(識別子)を有するRAIDグループに属する全てのLDEVに「閉塞」を示す情報を記録する(S713)。 Then MP41 is an information for managing the LDEV stored in the shared memory 24, and records the information indicating "closed" to all of the LDEV belonging to the RAID group having a RAID group number (identifier) ​​acquired in S701 (S713) . これにより、RAIDグループに属する全てのLDEVがアクセス禁止となる。 As a result, all of the LDEV belonging to the RAID group is the access ban.

S713の処理後、MP41はライト処理S700を終了する。 After the processing of S713, MP41 ends the write processing S700.

以上の説明では、ホスト計算機10から送信されたライトデータをHDD50に格納する例を用いたが、これに限定されず、キャッシュメモリ23に格納されたデータをHDD50に書き出すデステージングの際には、ライト処理S700が実行される。 In the above description, although using the example of storing the write data sent from the host computer 10 to the HDD 50, without being limited thereto, the time of destaging to write the data stored in the cache memory 23 to the HDD 50, the write processing S700 is executed.

図17は、図1に示したディスクアダプタがHDDからデータを読み出す動作を説明するフローチャートである。 Figure 17 is a flowchart disk adapter shown in FIG. 1 will be described operation of reading data from the HDD. 例えばホスト計算機10から通信ネットワーク11を介してライトコマンドが送信されると、前述のように、チャネルアダプタ30は受信したリードコマンドを共有メモリ24に格納する。 For example, when a write command via the communications network 11 from the host computer 10 is transmitted, as described above, the channel adapter 30 stores the received read command into the shared memory 24. ディスクアダプタ40は共有メモリ24を参照しており、共有メモリ24に格納されたリードコマンドが自己に対するリードコマンドであるときに、すなわちリードコマンドに指定された論理アドレスを物理アドレスに変換し、変換された物理アドレスが接続されているHDD50に対応する場合に、当該ディスクアダプタ40のMP41は図17に示すリード処理S800を実行する。 The disk adapter 40 is with reference to the shared memory 24, when the read command stored in the shared memory 24 is a read command to the self, i.e. converts the logical address specified in the read command into a physical address, it is converted If the physical address corresponding to the HDD50 connected, MP41 of the disk adapter 40 performs a read process S800 shown in FIG. 17.

すなわち、MP41は、共有メモリ24に記憶される暗号化管理テーブル400において、リードコマンドに含まれる対象データの格納先であるLDEVのLDEV番号(識別子)が、LDEV−ID欄400Cに格納された行(レコード)を読み出し、当該行(レコード)のRG−ID欄400Aに格納されたRAIDグループ番号(識別子)を取得する(S801)。 That is, the line MP41 is in the encryption management table 400 stored in the shared memory 24, a storage destination of the object data included in the read command LDEV of the LDEV number (identifier), which is stored in the LDEV-ID column 400C It reads (records), and acquires the RAID group number (identifier) ​​stored in the RG-ID field 400A of the line (record) (S801). 次いでMP41は、当該行(レコード)の暗号化設定欄400Bに格納された情報に基づいて、暗号化が設定されているか否かを判定する(S802)。 Then MP41, based on the line information stored in the encryption setting field 400B of (record), and determines whether encryption is set (S802). なお、暗号化設定欄400Bが「ON」ならば暗号化が設定されていると判定し、暗号化設定欄400Bが「OFF」ならば暗号化が設定されていないと判定する。 Incidentally, it is determined that the encryption setting field 400B is determined to be set if encryption "ON", the encryption setting field 400B is "OFF" if the encryption is not set.

S802の判定の結果、暗号化が設定されている場合に、MP41は共有メモリ24に記憶される内部変換暗号鍵を取得する(S803)。 The result of the determination in S802, if the encryption is set, MP41 obtains the internal conversion encryption key stored in the shared memory 24 (S803). 次いでMP41は、内部変換暗号鍵を取得できたか否かを判定する(S804)。 Then MP41 determines whether to retrieve the internal conversion encryption key (S804).

S804の判定の結果、内部変換暗号鍵を取得できた場合に、MP41は取得した内部変換暗号鍵をLM42に記憶される内部用暗号鍵を用いてデータ暗号鍵に復号化する(S805)。 The result of the determination in S804, if was acquired internal conversion encryption key, MP41 decodes the data encryption key using the internal encryption key stored inside transform encryption key acquired in LM42 (S805). 次いでMP41は、S805で復号化したデータ暗号鍵をパラメータに設定し、当該パラメータをLM42に格納する(S806)。 Then MP41 sets the data encryption key decrypted by S805 to the parameter and stores the parameters in LM42 (S806).

次に、前述したステージングと同様に、FCA60内の内部コントローラ62はパラメータ制御部61などに指示を出力し、パラメータ制御部61はLM42に記憶されるパラメータをキャッシュライト制御部63に出力する。 Then, similarly to the staging described above, the internal controller 62 in FCA60 outputs an instruction to the like parameter control unit 61, a parameter control unit 61 outputs the parameters stored in LM42 cache write control unit 63. 次いで内部コントローラ62はキャッシュライト制御部63などに指示を出力し、キャッシュリード制御部64は、S807の処理で入力されたパラメータに含まれるデータ暗号鍵と、S807の処理で入力されたパラメータに基づいてHDD50から読み込んだリードデータとを、暗号化・複号化回路70に出力する(S807)。 The internal controller 62 then outputs an instruction to such cache write control unit 63, the cache read control unit 64, the basis of the data encryption key included in the parameters entered in the processing of S807, the parameters input in the processing of S807 a read data read from the HDD50 Te, and outputs the encryption-decryption circuit 70 (S807).

暗号化・複号化回路70は、データ暗号鍵(データ復号鍵)を用いてリードデータを復号化する(S808)。 Encryption and decryption circuit 70 decrypts the read data using a data encryption key (data decryption key) (S808). 次いで暗号化・複号化回路70は、復号化されたリードデータをキャッシュライト制御部63に出力し、キャッシュライト制御部63は入力された復号化されたリードデータをキャッシュメモリ23に出力する(S809)。 Then the encryption-decryption circuit 70 outputs the read data decoded in the cache write control unit 63, the cache write control unit 63 outputs the read data decoded input to the cache memory 23 ( S809). これにより、RAIDグループに設定された暗号化状態に基づいて、復号化されたデータがキャッシュメモリ23に格納される。 Thus, based on the encrypted state belonging to the RAID group, it decoded data is stored in the cache memory 23.

S809の処理後、MP41はリード処理S800を終了する。 After the processing of S809, MP41 ends the read processing S800.

一方、S802の判定の結果、暗号化が設定されていない場合に、MP41は、所定のパラメータを設定し、当該パラメータをLM42に格納する(S810)。 On the other hand, the result of the determination in S802, if the encryption is not set, MP41 sets a predetermined parameter, and stores the parameters in LM42 (S810).

次に、前述したステージングと同様に、FCA60内の内部コントローラ62はパラメータ制御部61などに指示を出力し、パラメータ制御部61はLM42に記憶されるパラメータをキャッシュライト制御部63に出力する。 Then, similarly to the staging described above, the internal controller 62 in FCA60 outputs an instruction to the like parameter control unit 61, a parameter control unit 61 outputs the parameters stored in LM42 cache write control unit 63. 次いで内部コントローラ62はキャッシュライト制御部63などに指示を出力し、入力されたパラメータに基づいてHDD50から読み込んだリードデータを、キャッシュメモリ23に出力する(S811)。 Then the internal controller 62 outputs an instruction to such cache write control unit 63, the read data read from the HDD50 based on the input parameters, and outputs to the cache memory 23 (S811). これにより、RAIDグループに設定された暗号化状態に基づいて、暗号化されていないデータがキャッシュメモリ23に格納される。 Thus, based on the encrypted state belonging to the RAID group, data that is not encrypted it is stored in the cache memory 23.

S811の処理後、MP41はリード処理S800を終了する。 After the processing of S811, MP41 ends the read processing S800.

一方、S804の判定の結果、内部変換暗号鍵を取得できなかった場合に、MP41は、チャネルアダプタ30を介し、リードコマンドを送信したホスト計算機10にリードエラーを応答する(S812)。 On the other hand, the result of the determination in S804, if it can not obtain the internal conversion encryption key, MP41 is via a channel adapter 30 responds to read error to the host computer 10 that has transmitted a read command (S812). 次いでMP41は、共有メモリ24に記憶されるLDEVを管理する情報において、S801で取得したRAIDグループ番号(識別子)を有するRAIDグループに属する全てのLDEVに「閉塞」を示す情報を記録する(S813)。 Then MP41 is an information for managing the LDEV stored in the shared memory 24, and records the information indicating "closed" to all of the LDEV belonging to the RAID group having a RAID group number (identifier) ​​acquired in S801 (S813) . これにより、RAIDグループに属する全てのLDEVがアクセス禁止となる。 As a result, all of the LDEV belonging to the RAID group is the access ban.

S813の処理後、MP41はリード処理S800を終了する。 After the processing of S813, MP41 ends the read processing S800.

以上の説明では、ホスト計算機10から送信されたリードコマンドに基づいて、HDD50から読み出したリードデータをキャッシュメモリ23に格納する例を用いたが、これに限定されず、HDD50から読み出したデータをキャッシュメモリ23に格納するステージングの際には、ライト処理S700が実行される。 In the above description, based on the read command transmitted from the host computer 10, although using the example of storing the read data read from the HDD50 in the cache memory 23 is not limited to this, the cache data read from the HDD50 when the staging to be stored in the memory 23, the write processing S700 is executed.

次に、図18及び図19を参照しながらデータマイグレーションの動作について説明する。 Next, the operation of data migration will be described with reference to FIGS. 18 and 19.

図18は、データマイグレーションの流れを説明する状態遷移図である。 Figure 18 is a state transition diagram illustrating the flow of data migration. 例えばストレージ装置20に暗号化ディスクアダプタ40を増設した際、又は普通の(暗号化・復号化回路70を搭載しない)ディスクアダプタ40を暗号化ディスクアダプタ40に交換した際に、暗号化が設定されていない第1のRAIDグループのデータを、暗号化が設定されている第2のRAIDグループにマイグレーションすることにより、第1のRAIDグループのデータを暗号化することができる。 For example, when installing additional encrypted disk adapter 40 in the storage device 20, or an ordinary (not equipped with encryption and decryption circuit 70) when the disk adapter 40 was replaced with encrypted disk adapter 40, the encryption is set the data of the first RAID group is not, by migrating to the second RAID group encryption is set, it is possible to encrypt the data of the first RAID group.

すなわち、図18に示すように、第1のRAIDグループ133に属するLDEV143に記憶されるデータをマイグレーションするときに((a)参照)、第2のRAIDグループ134に新たにLDEV144を増設(定義)し、又は既存のLDEV144をフォーマット(初期化)する((b)参照)。 That is, as shown in FIG. 18, when migrating data stored in LDEV143 belonging to the first RAID group 133 ((a) refer), newly added to LDEV144 the second RAID group 134 (defined) and, or existing the LDEV144 formats (initialization) ((b) refer).

次に、LDEV143、144間で後述するデータマイグレーション処理S900を実行し((c)参照)、マイグレーション処理S900の完了後にLDEV143を開放する((d)参照)。 Next, (see (c)) executes the data migration processing S900 to be described later between LDEV143,144, opening the LDEV143 after completion of the migration process S900 ((d) refer). なお、第1のRAIDグループにおける全てのデータを第2のRAIDグループにマイグレーションする場合、第1のRAIDグループに属する全てのLDEVについて、前述の(a)〜(d)を繰り返すことにより、第1のRAIDグループにおける全てのデータを暗号化することができる。 In the case of migrating all of the data in the first RAID group to the second RAID group for all LDEV belonging to the first RAID group, by repeating the above (a) ~ (d), first all data in the RAID group can be encrypted.

図19は、図1に示したSVP及びディスクアダプタがデータをマイグレーションする動作を説明するフローチャートである。 Figure 19 is a flowchart SVP and the disk adapter shown in FIG. 1 will be described an operation of migrating the data. 例えば管理端末13からネットワーク12を介して移行元LDEV番号及び移行先LDEV番号を指定したデータマイグレーション要求が送信されると、SVP22は図19に示すデータマイグレーション処理S900を実行する。 For example, when data migration request from the management terminal 13 specifying the migration source LDEV number and the migration destination LDEV number via the network 12 is transmitted, SVP 22 executes the data migration processing S900 shown in FIG. 19.

すなわちデータマイグレーション要求を受信したSVP22は、共有メモリ24に記憶される暗号化管理テーブル400において、指定された移行元LDEVのLDEV番号(識別子)が、LDEV−ID欄400Cに格納された行(レコード)を読み出し、当該行(レコード)のRG−ID欄400Aに格納されたRAIDグループ番号(識別子)を有するRAIDグループを移行元RAIDグループ(移行元VDEV)として決定する(S901)。 That SVP22 receiving data migration request, the encryption management table 400 stored in the shared memory 24, designated the migration source LDEV of the LDEV number (identifier), rows (records stored in the LDEV-ID column 400C ) reads and determines the RAID group having a RAID group number (identifier) ​​stored in the RG-ID field 400A of the line (record) migrated as source RAID group (the source VDEV) (S901). 同様にして、SVP22は、指定された移送先LDEVのLDEV番号(識別子)が、LDEV−ID欄400Cに格納された行(レコード)を読み出し、当該行(レコード)のRG−ID欄400Aに格納されたRAIDグループ番号(識別子)を有するRAIDグループを移送先RAIDグループ(移送先VDEV)として決定する(S902)。 Similarly, storage SVP22 is specified migration target LDEV of the LDEV number (identifier), reads the rows stored in LDEV-ID column 400C (record), the RG-ID field 400A of the line (record) It has been transported destination RAID group RAID group having a RAID group number (identifier) ​​(transfer destination VDEV) determining a (S902).

次にSVP22は、キャッシュメモリ23に移行元データ用領域及び移行先データ用領域を確保する(S903)。 Then SVP22 is to ensure the source data area and the destination data area in the cache memory 23 (S903).

ここで、SVP22は、共有メモリ24に記憶されるRAIDグループ管理テーブル300において、移行元RAIDグループのRAIDグループ番号(識別子)が、RG−ID欄300Aに格納された行(レコード)を読み出し、当該行(レコード)のDKA−ID欄300Cに格納されたディスクアダプタ番号(識別子)を有するディスクアダプタ40のMP41に対し、前述のステージングを指示する。 Here, SVP 22 is in the RAID group management table 300 stored in the shared memory 24, proceeds RAID group number of the source RAID group (identifier), reads the rows stored in RG-ID field 300A (record), the to MP41 of the disk adapter 40 having rows (records) DKA-ID field 300C in the storage disk adapter number (identifier), to indicate the staging of the foregoing. なお、DKA−ID欄300Cに格納されたディスクアダプタ番号(識別子)が複数ある場合には、所定の順序でディスクアダプタ40のMP41に指示を出力する。 Incidentally, when DKA-ID field 300C in the storage disk adapter number (identifier) ​​are multiple outputs an instruction to MP41 of the disk adapter 40 in a predetermined order.

SVP22から指示を受けたディスクアダプタ40のMP41は、前述のリード処理S800と同様の処理を行い、移行元LDEVのデータをキャッシュメモリ23の移行元データ用領域に格納する(S904)。 MP41 of the disk adapter 40 receives an instruction from SVP22 performs the same processing as the above-described read process S800, and stores the data of the migration source LDEV to the migration source data area of ​​the cache memory 23 (S904). 次いでMP41は、当該移行元LDEVのデータを、キャッシュメモリ23の移行元データ用領域から移行先データ用領域にコピーする(S905)。 Then MP41 is the data of the migration source LDEV, copied from the source data area of ​​the cache memory 23 to the destination data area (S905).

ここで、SVP22は、共有メモリ24に記憶されるRAIDグループ管理テーブル300において、移行先RAIDグループのRAIDグループ番号(識別子)が、RG−ID欄300Aに格納された行(レコード)を読み出し、当該行(レコード)のDKA−ID欄300Cに格納されたディスクアダプタ番号(識別子)を有するディスクアダプタ40のMP41に対し、前述のデステージングを指示する。 Here, SVP 22 reads the RAID group management table 300 stored in the shared memory 24, the RAID group number of the migration destination RAID group (identifier), the rows stored in the RG-ID field 300A (the record), the to MP41 of the disk adapter 40 having rows disk adapter number (identifier) ​​stored in the DKA-ID column 300C of the (record), and instructs destaging above. なお、DKA−ID欄300Cに格納されたディスクアダプタ番号(識別子)が複数ある場合には、所定の順序でディスクアダプタ40のMP41に指示を出力する。 Incidentally, when DKA-ID field 300C in the storage disk adapter number (identifier) ​​are multiple outputs an instruction to MP41 of the disk adapter 40 in a predetermined order.

SVP22から指示を受けたディスクアダプタ40のMP41は、前述のライト処理S700と同様の処理を行い、キャッシュメモリ23の移行先データ用領域に記憶される移送元LDEVのデータを、移送先LDEVに対応するHDD50に格納する(S906)。 MP41 of the disk adapter 40 receives an instruction from SVP22 performs the same processing as the write processing S700 described above, the data of the migration source LDEV stored in the destination data area of ​​the cache memory 23, corresponding to the transfer destination LDEV to be stored in the HDD50 (S906). なお、移行元LDEVのデータ量がS903の処理で確保した移行元データ用領域よりも大きい場合、移行元LDEVのデータを所定量に分割し、所定量のデータごとにS904〜S906の処理を繰り返す。 Incidentally, if the data amount of the migration source LDEV is greater than the source data area reserved in the processing of S903, it divides the data of the migration source LDEV to a predetermined amount, and repeats the processing of S904~S906 for each predetermined amount of data .

SVP22は、全てのディスクアダプタ40のMP41に対してS904〜S906の処理を行った後、データマイグレーション処理S900を終了する。 SVP22 after performing the process of S904~S906 against MP41 of all of the disk adapter 40 terminates the data migration processing S900.

このマイグレーションの開始された以降、ホスト計算機10から、データが暗号化されない、移行元LDEVに対して発行されたライトコマンドは、データマイグレーション処理S900の過程で、又はマイグレーション処理S900の終了後、移行先LDEVに発行され、ライトデータは移行先LDEVに格納される。 Initiated after the migration, from the host computer 10, the data is not encrypted, migration issued write command to the source LDEV in the course of data migration processing S900, or after the completion of the migration process S900, the destination issued LDEV, the write data is stored in the migration destination LDEV.

図20は、図1に示したSVPがLDEVを結合する動作を説明するフローチャートである。 Figure 20 is a flowchart SVP shown in Fig. 1 will be described an operation of coupling the LDEV. 例えばLUの容量を拡張するために、管理端末13からネットワーク12を介してLUに含まれる先頭のLDEVのLDEV番号を指定した結合対象要求が送信されると、SVP22は図20に示す結合対象処理S1000を実行する。 For example, in order to expand the capacity of the LU, the binding partner request specifying LDEV number of the first LDEV included in the LU from the management terminal 13 via the network 12 is transmitted, SVP 22 is coupled target processing shown in FIG. 20 S1000 to run.

すなわち結合要求を受信したSVP22は、共有メモリ24に記憶される暗号化管理テーブル400において、指定されたLDEVのLDEV番号(識別子)が、LDEV−ID欄400Cに格納された行(レコード)を読み出し、当該行(レコード)の暗号化設定欄400Bに格納された暗号化状態を取得する(S1001)。 That SVP22 having received the binding request, reads the encryption management table 400 stored in the shared memory 24, designated the LDEV number (identifier), the rows stored in the LDEV-ID column 400C (the record) , it acquires the encryption state stored in the encryption setting field 400B of the line (record) (S1001). 次いでSVP22は、S1001で取得した暗号化状態が、暗号化設定欄400Bに格納された行(レコード)を全て読み出し、当該行(レコード)のLDEV−ID欄400Cに格納された全てのLDEV番号(識別子)を取得する(S1002)。 Then SVP22 is encrypted state acquired in S1001, reads all lines that have been stored in the encryption setting section 400B (records), every LDEV number stored in the LDEV-ID column 400C of the line (record) ( to get the identifier) ​​(S1002).

次に、SVP22はS1002で取得した全てのLDEV番号(識別子)を結合対象要求の応答としてネットワーク12を介して管理端末13に送信し(S1003)、SVP22は結合対象処理S1000を終了する。 Then, SVP 22 via the network 12 and transmitted to the management terminal 13 as a response to the binding partner request all LDEV number obtained in S1002 (ID) (S1003), SVP22 ends the binding target process S1000.

図21は、管理端末に表示するLDEV結合画面の一例を説明するイメージ図である。 Figure 21 is an image diagram illustrating an example of the LDEV binding screen displayed on the management terminal. 結合要求の応答を受信した管理端末13は、モニタなどに図21に示すLDEV結合画面G01を表示する。 The management terminal 13 receives a response of the binding request, displays the LDEV binding screen G01 shown in FIG. 21, etc. on the monitor. LDEV結合画面G01には、結合元LDEVフィールドG01Aに、指定したLDEVのLDEV番号が表示されるとともに、結合可能LDEVフィールドG01Bに受信したLDEV番号が表示される。 The LDEV binding screen G01, coupled to source LDEV field G01A, with LDEV number is displayed in the specified LDEV, LDEV number received in bondable LDEV field G01B is displayed. 管理者は、追加ボタンG01C又は削除ボタンG01Dを操作することにより、結合可能LDEVフィールドG01Bに表示したLDEV番号を結合対象LDEVフィールドG01Eに追加し、又は結合対象LDEVフィールドG01Eから削除することができる。 Administrator by operating the add button G01C or delete button G01D, it is possible to remove the LDEV number displayed on the bondable LDEV field G01B added to bind the target LDEV field G01E, or from the combined target LDEV field G01E.

結合対象のLDEVを決定後、管理者が実行ボタンG05Fを操作することにより、結合元LDEVフィールドG01AのLDEV番号と、結合対象LDEVフィールドG01Eの全てのLDEV番号とを指定した結合要求がネットワーク12を介してSVP22に送信され、SVP22によってLDEVが結合される。 After determining the binding target LDEV, by the administrator operates the execution button G05F, and LDEV number of binding source LDEV field G01A, binding request specifying all the LDEV number of the combining target LDEV field G01E is a network 12 sent to SVP 22 via, LDEV is bound by SVP 22. このように、結合元となるLDEVと暗号化状態が同一のLDEVのみが結合対象のLDEVとして表示され、結合元LDEVと結合対象LDEVとを結合することができるので、暗号化領域と非暗号化領域とが結合されるのを防止することができる。 Thus, only the LDEV LDEV and encryption state same as the coupling source is displayed as LDEV to be joined, it is possible to combine the binding target LDEV and merger LDEV, the encryption area and a non-encryption it is possible to prevent the can and regions are coupled.

図22は、図1に示したディスクアダプタをリプレースする動作を説明するフローチャートである。 Figure 22 is a flowchart for explaining the operation of replacing the disk adapter shown in FIG. ストレージ装置20に備わる暗号化ディスクアダプタ40を普通の(暗号化・復号化回路70を搭載しない)ディスクアダプタ40に交換する際に、例えば管理端末13からネットワーク12を介して、リプレース対象となる暗号化ディスクアダプタ40のディスクアダプタ番号を指定したリプレース要求が送信されると、SVP22は図22に示すディスクアダプタリプレース処理S1100を実行する。 When replacing the encrypted disk adapter 40 in the storage device 20 normal (not equipped with encryption and decryption circuits 70) to the disk adapter 40, for example, from the management terminal 13 via the network 12, the subject for replacement encryption When replacement request specifying the disk adapter number of the disk adapter 40 is transmitted, SVP 22 executes the disk adapter replacement process S1100 shown in FIG. 22.

すなわちリプレース要求を受信したSVP22は、共有メモリ24に記憶されるRAIDグループ管理テーブル300において、指定された暗号化ディスクアダプタ40のディスクアダプタ番号(識別子)が、DKA−ID欄300Cに格納された行(レコード)を読み出し、当該行(レコード)のRG−ID欄300Aに格納されたRAIDグループのRAIDグループ番号(識別子)を取得する(S1101)。 That SVP22 having received the replacement request, the line in the RAID group management table 300, the designated encrypted disk adapter 40 disk adapter number (identifier), which is stored in the DKA-ID field 300C stored in the shared memory 24 It reads (records), and acquires the RAID group number (identifier) ​​of the RAID groups stored in the RG-ID field 300A of the line (record) (S1101). なお、図4に示したディスクアダプタ40A、40Bのように、1つのディスクアダプタ40が2つ以上の複数のRAIDグループに属する場合には、S1101の処理で取得するRAIDグループ番号(識別子)は複数となる。 As in the disk adapter 40A, 40B shown in FIG. 4, one when the disk adapter 40 belonging to two or more of the plurality of RAID groups, multiple RAID group number (identifier) ​​is to be obtained in the processing in S1101 to become.

次にSVP22は、共有メモリ24に記憶される暗号化管理テーブル400において、S1101の処理で取得したRAIDグループ番号(識別子)が、RG−ID欄400Aに格納された行(レコード)を全て読み出し、当該行(レコード)の暗号化設定欄400Bに格納された暗号化状態を取得する(S1102)。 Then SVP22 is the encryption management table 400 stored in the shared memory 24, RAID group number (identifier) ​​acquired in the process of S1101, reads all lines that have been stored in the RG-ID field 400A (records), obtaining an encrypted state stored in the encryption setting field 400B of the line (record) (S1102).

次にSVP22は、S1102で取得した暗号化状態に基づいて、全てのRAIDグループに暗号化が設定されていないか否かを判定する(S1103)。 Then SVP22, based on the encrypted state acquired in S1102, determines whether encryption for all RAID groups is not set (S1103). なお、暗号化設定欄400Bが全て「OFF」ならば全てのRAIDグループに暗号化が設定されていないと判定し、暗号化設定欄400Bが1つでも「ON」ならば何れかのRAIDグループに暗号化が設定されていると判定する。 Incidentally, all encryption setting field 400B determines "OFF" if encryption for all RAID groups is not set, the encryption setting field 400B is in any of the RAID group if even one "ON" It determines that encryption is set.

S1103の判定の結果、何れかのRAIDグループに暗号化が設定されている場合に、SVP22は、指定されたディスクアダプタ40が属するRAIDグループを削除するか否かを確認するリプレース確認要求を、ネットワーク12を介して管理端末13に送信する(S1104)。 The result of the determination in S1103, when encryption in any of the RAID group are configured, SVP 22 is a replacement confirmation request disk adapter 40 which is designated to confirm whether to delete the RAID group belongs, the network through 12 to the management terminal 13 (S1104).

図23は、管理端末に表示する確認画面の一例を説明するイメージ図である。 Figure 23 is an image diagram illustrating an example of a confirmation screen displayed on the management terminal. リプレース確認要求を受信した管理端末13は、モニタなどに図23に示す確認画面G02を表示する。 The management terminal 13 which has received the replacement confirmation request, displays a confirmation screen G02 shown in FIG. 23, etc. on the monitor. 確認画面G02はリプレースを続行するか否かを問う旨のメッセージG02Aを表示し、管理者は「はい」ボタンG02B又は「いいえ」ボタンG02Cの一方を操作する。 Confirmation screen G02 displays a message G02A to the effect that the question whether or not to proceed with the replacement, the administrator to manipulate one of the "yes" button G02B or "No" button G02C. 次いで管理端末13は、「はい」ボタンG02B又は「いいえ」ボタンG02Cの一方の操作に基づくリプレース確認要求に対する応答を、ネットワーク12を介してSVP22に送信する。 Then the management terminal 13 transmits a response to the "yes" button G02B or "No" button one replacement confirmation request based on the operation of the G02C, the SVP22 via the network 12.

応答を受信したSVP22は、当該応答に基づいてリプレースを続行するか否かを判定する(S1105)。 SVP22 upon receipt of the response, determines whether to continue the replacement based on the response (S1105). なお、確認画面G02で「はい」ボタンG02Bが操作されたときはリプレースを続行すると判定し、確認画面G02で「いいえ」ボタンG02Cが操作されたときはリプレースを続行しない(中止する)と判定する。 In addition, it is determined that when the "yes" button G02B in the confirmation screen G02 is operated to continue the replacement, do not continue with the replacement when the "No" button G02C has been operated on the confirmation screen G02 and (to stop) is determined .

S1105の判定の結果、リプレースを続行する場合に、SVP22は最初に指定された応答を受信したSVP22は、S1101の処理で取得したRAIDグループ番号(識別子)を有するRAIDグループを全て削除する(S1106)。 The result of the determination in S1105, in the case of continuing the replacement, SVP 22 has SVP 22 which has received the first specified response deletes all RAID groups having a RAID group number (identifier) ​​acquired in the process of S1101 (S1106) .

S1106の処理後、SVP22は、暗号化ディスクアダプタ40をディスクアダプタ40に交換する所定のリプレース処理を行い(S1107)、SVP22はディスクアダプタリプレース処理S1100を終了する。 After the processing of S1106, SVP 22 performs predetermined replacement processing for replacing the encrypted disk adapter 40 in the disk adapter 40 (S1107), SVP 22 ends the disk adapter replacement operation S1100.

一方、S1105の判定の結果、リプレースを続行しない場合に、SVP22は所定のリプレース中断処理を行い(S1108)、SVP22はディスクアダプタリプレース処理S1100を終了する。 On the other hand, the result of the determination in S1105, if not continue with the replacement, SVP 22 performs predetermined replacement interruption processing (S1108), SVP 22 ends the disk adapter replacement operation S1100.

また、S1103の判定の結果、全てのRAIDグループに暗号化が設定されていない場合、すなわちリプレース対象のディスクアダプタ40が接続するHDD50に記憶されるデータが全て暗号化されていないデータの場合に、SVP22は、S1104〜S1106の処理を行わずに、前述の所定のリプレース処理を行い(S1107)、SVP22はディスクアダプタリプレース処理S1100を終了する。 As a result of the determination in S1103, if the encryption for all RAID groups is not set, that is, when the data that the data to be stored is not all encrypted HDD50 the disk adapter 40 of the replacement target is connected, SVP 22 is without processing S1104~S1106, performs predetermined replacement processing described above (S1107), SVP 22 ends the disk adapter replacement operation S1100. このように、暗号化ディスクアダプタ40に接続されるHDDが属するRAIDグループに設定された暗号化状態が、全てデータを暗号化しない場合に、暗号化ディスクアダプタ40がディスクアダプタ40に交換されるので、暗号化されたデータが暗号化できないディスクアダプタ40に接続されるHDD50に格納され、1つのHDD50内に暗号化されたデータが記憶される暗号化領域と、暗号されないデータが記憶される非暗号化領域とが混在することがない。 Thus, the encrypted encryption state HDD is set in the RAID group belongs, which is connected to the disk adapter 40, if not all encrypted data, since the encrypted disk adapter 40 is replaced with a disk adapter 40 is stored in the HDD 50 to the encrypted data is connected to the disk adapter 40 that can not be encrypted, one and encryption region encrypted data is stored in the HDD 50, the non-encrypted not encrypted data is stored region and are never mixed. これにより、HDD50の盗難や持ち出しなどによるデータ漏えいを防止することができる。 Thus, it is possible to prevent data loss due to theft or taking out of the HDD 50.

なお、本発明の構成は、前述の実施形態にのみ限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々変更を加えてもよい。 The configuration of the present invention is not limited to the embodiments described above, it may be modified in many forms within the scope not departing from the gist of the present invention.

ストレージシステムの構成を説明するブロック図である。 Is a block diagram illustrating the configuration of a storage system. 図1に示したディスクアダプタの構成を説明するブロック図である。 Is a block diagram illustrating the configuration of the disk adapter shown in FIG. 図2に示したファイバーチャネルアダプターモジュールの構成を説明するブロック図である。 Is a block diagram illustrating the configuration of the Fiber Channel adapter module shown in FIG. 図1に示したディスクアダプタ及びHDDの接続例を説明するブロック図である。 Connection example of the disk adapter and HDD shown in FIG. 1 is a block diagram for explaining the. 図1に示したストレージ装置の記憶構造を説明するブロック図である。 It is a block diagram illustrating a storage structure of the storage device shown in FIG. 図1に示したディススクアダプタ管理テーブルの一例を説明する構成図である。 Is a block diagram illustrating an example's a disk adapter management table shown in FIG. 図1に示したRAIDグループ管理テーブルの一例を説明する構成図である。 Is a block diagram illustrating an example of a RAID group management table shown in FIG. 図1に示した暗号化管理テーブルの一例を説明する構成図である。 Is a block diagram illustrating an example of the encryption management table shown in FIG. 図1に示した外部バックアップ情報テーブルの一例を説明する構成図である。 Is a block diagram illustrating an example of external backup information table shown in FIG. 図1に示したディスクアダプタを登録する動作を説明するフローチャートである。 Is a flowchart illustrating an operation of registering the disk adapter shown in FIG. データ暗号鍵をストレージ装置内にバックアップする動作を説明するフローチャートである。 Is a flowchart illustrating an operation for backing up data encryption key in the storage device. データ暗号鍵をストレージ装置外にバックアップする動作を説明するフローチャートである。 Is a flowchart illustrating an operation for backing up data encryption key to the outside of the storage device. データ暗号鍵をストレージ装置内からリストアする動作を説明するフローチャートである。 Is a flowchart illustrating an operation to restore the data encryption key from the storage device. データ暗号鍵をストレージ装置内からリストアする動作を説明するフローチャートである。 Is a flowchart illustrating an operation to restore the data encryption key from the storage device. 図1に示したディスクアダプタの暗号化状態を設定する動作を説明するフローチャートである。 Is a flowchart illustrating an operation of setting the encryption status of the disk adapter shown in FIG. 図1に示したディスクアダプタがHDDにデータを書き込む動作を説明するフローチャートである。 Disk adapter shown in FIG. 1 is a flowchart for explaining the operation of writing data the HDD. 図1に示したディスクアダプタがHDDからデータを読み出す動作を説明するフローチャートである。 Disk adapter shown in FIG. 1 is a flowchart for explaining the operation of reading data from the HDD. データマイグレーションの流れを説明する状態遷移図である。 It is a state transition diagram illustrating the flow of data migration. 図1に示したSVP及びディスクアダプタがデータをマイグレーションする動作を説明するフローチャートである。 SVP and disk adapter shown in FIG. 1 is a flow chart for explaining an operation to migrate data. 図1に示したSVPがLDEVを結合する動作を説明するフローチャートである。 SVP shown in FIG. 1 is a flowchart for explaining the operation of coupling the LDEV. 管理端末に表示するLDEV結合画面の一例を説明するイメージ図である。 Is an image diagram illustrating an example of the LDEV binding screen displayed on the management terminal. 図1に示したディスクアダプタをリプレースする動作を説明するフローチャートである。 Is a flowchart illustrating the operation of replacing the disk adapter shown in FIG. 管理端末に表示する確認画面の一例を説明するイメージ図である。 Is an image diagram illustrating an example of a confirmation screen displayed on the management terminal.

符号の説明 DESCRIPTION OF SYMBOLS

1…ストレージシステム、10,10A,10B,10C…ホスト計算機、20…ストレージ装置、22…SVP、23…キャッシュメモリ、24…共有メモリ、40,40A,40B,40C…ディスクアダプタ、41…MP、50…HDD、200…ディスクアダプタ管理テーブル、300…RAIDグループ管理テーブル。 1 ... storage system, 10, 10A, 10B, 10C ... host computer, 20 ... storage device, 22 ... SVP, 23 ... cache memory, 24 ... shared memory, 40, 40A, 40B, 40C ... disk adapter, 41 ... MP, 50 ... HDD, 200 ... disk adapter management table, 300 ... RAID group management table.

Claims (15)

  1. 複数のディスク装置にデータを格納するストレージ装置において、 A storage device for storing data in a plurality of disk devices,
    それぞれが、少なくとも1つのRAIDグループを構成する複数の前記ディスク装置に接続される複数のアダプタと、 Each, and a plurality of adapters that are connected to a plurality of the disk drives constituting at least one RAID group,
    前記複数のディスク装置が提供する記憶領域を複数の論理記憶領域に分割して管理するとともに、複数の前記RAIDグループを管理する管理部とを備え、 With managed by dividing the storage area in which the plurality of disk devices is provided to a plurality of logical storage areas, and a management unit for managing a plurality of the RAID group,
    前記複数のディスク装置は、それぞれ前記ディスク装置単位に前記RAIDグループを構成しており、 Wherein the plurality of disk devices are respectively constitute the RAID group in the disk drive unit,
    前記複数のアダプタの少なくとも1つは、前記データを暗号化可能な暗号化アダプタであり、 At least one of the plurality of adapters, the data is encrypted capable encryption adapter,
    前記管理部は、 The management unit,
    前記RAIDグループに属する前記ディスク装置に接続される前記アダプタが、全て前記暗号化アダプタであるときに、該RAIDグループに対し、前記データを暗号化するか否かを示す暗号化状態を設定し、 Said adapter connected to said disk devices belonging to the RAID group, when it is all the encrypted adapter, to the RAID group, the data set the encryption state indicating whether to encrypt,
    前記暗号化アダプタは、 The encryption adapter,
    前記データの格納先となる前記ディスク装置が属する前記RAIDグループに設定された前記暗号化状態に基づいて、該データを暗号化して該ディスク装置に格納する ことを特徴とするストレージ装置。 Based on said encryption the disc apparatus is set to the RAID group including the storage destination to become the data storage device encrypts the data and storing, in the disk device.
  2. 前記管理部は、 The management unit,
    前記RAIDグループに設定された前記暗号化状態に基づいて、該RAIDグループに対応する前記論理記憶領域の前記暗号化状態を表示する ことを特徴とする請求項1に記載のストレージ装置。 Wherein based on the encryption status belonging to the RAID group, the storage device according to claim 1, characterized in that displaying the encryption status of the logical storage area corresponding to the RAID group.
  3. 前記暗号化アダプタは、 The encryption adapter,
    不揮発性メモリを有し、 It has a non-volatile memory,
    前記データを暗号化する際に用いられるデータ暗号鍵を前記不揮発性メモリにバックアップする ことを特徴とする請求項1に記載のストレージ装置。 The storage device according to claim 1, characterized in that to back up the data encryption key used when encrypting the data in the nonvolatile memory.
  4. 前記暗号化アダプタを複数備え、 A plurality of the encryption adapter,
    前記各暗号化アダプタは、 Wherein each encryption adapter,
    前記各不揮発性メモリにバックアップされた複数の前記データ暗号鍵のうちの1つを用いて前記データを暗号化する ことを特徴とする請求項3に記載のストレージ装置。 The storage device of claim 3, wherein the encrypting the data using one of a plurality of said data encryption key the backed up to each non-volatile memory.
  5. 外部記憶装置が接続されており、 External storage device is connected,
    前記管理部は、 The management unit,
    前記暗号化アダプタにおいて前記データを暗号化する際に用いられるデータ暗号鍵を前記外部記憶装置にバックアップする ことを特徴とする請求項1に記載のストレージ装置。 The storage device according to claim 1, characterized in that to back up the data encryption key used to encrypt the data in the encrypted adapter to the external storage device.
  6. 前記管理部は、 The management unit,
    前記データ暗号鍵と、前記データ暗号鍵に対応するハッシュ値及び前記外部記憶装置の識別情報のうち少なくとも一方を含む付加情報とを前記外部記憶装置にバックアップする ことを特徴とする請求項5に記載のストレージ装置。 According to claim 5, characterized in that to back up the data encryption key, and additional information including at least one of identification information of the hash value and the external storage device corresponding to the data encryption key in the external storage device of storage devices.
  7. 前記暗号化アダプタは、前記外部記憶装置から前記データ暗号鍵を受信したときに、受信した前記データ暗号鍵を用いて前記データを暗号化する ことを特徴とする請求項5に記載のストレージ装置。 The encrypted adapter, upon receiving the data encryption key from the external storage device, the storage device according to claim 5, characterized in that encrypts the data using the data encryption key received.
  8. 前記付加情報を記憶する付加情報記憶部を備え、 With additional information storage unit that stores the additional information,
    前記暗号化アダプタは、 The encryption adapter,
    前記外部記憶装置から前記データ暗号鍵と前記付加情報とを受信したとき、前記付加情報記憶部に記憶された前記付加情報と受信された前記付加情報とが一致する場合に、受信した前記データ暗号鍵を用いて前記データを暗号化する ことを特徴とする請求項6に記載のストレージ装置。 When said external storage device has received and the additional information and the data encryption key, when said additional information storage unit the additional information received with the stored the additional information matches, said received data encryption the storage device of claim 6, wherein the encrypting the data using the key.
  9. 前記管理部は、 The management unit,
    複数の前記論理記憶領域を結合するとき、該複数の論理記憶領域に対応する前記RAIDグループに設定された前記暗号化状態が全て同一である場合に、該複数の前記論理記憶領域を結合する ことを特徴とする請求項1に記載のストレージ装置。 When coupling a plurality of the logical storage area, if all the encrypted state where the set in the RAID group corresponding to the logical storage area of ​​the plurality of the same, to bind the logical storage area of ​​the plurality of the storage device of claim 1, wherein the.
  10. 前記管理部は、 The management unit,
    前記暗号化アダプタを前記データを暗号化することができない前記アダプタに交換するとき、該暗号化アダプタに接続される前記所定のディスク装置が属する前記RAIDグループに設定された前記暗号化状態が、全て前記データを暗号化しない場合に、該暗号化アダプタを前記アダプタに交換する ことを特徴とする請求項1に記載のストレージ装置。 When said encryption adapter to replace the adapter can not be encrypting the data, said encrypted state in which the predetermined disk device is set to the RAID group that belongs to be connected to this encryption adapter, all If you do not encrypt the data, the storage device according to claim 1, wherein the exchanging the encryption of the adapter to the adapter.
  11. 複数のディスク装置にデータを格納するストレージ装置におけるデータ処理方法において、 The data processing method in a storage apparatus for storing data in a plurality of disk devices,
    前記ストレージ装置は、それぞれが、少なくとも1つのRAIDグループを構成する複数の前記ディスク装置に接続される複数のアダプタと、前記複数のディスク装置が提供する記憶領域を複数の論理記憶領域に分割して管理するとともに、複数の前記RAIDグループを管理する管理部とを有し、前記複数のディスク装置は、それぞれ前記ディスク装置単位に前記RAIDグループを構成しており、前記複数のアダプタの少なくとも1つは、前記データを暗号化可能な暗号化アダプタであり、 Wherein the storage device, each of which divides a plurality of adapters that are connected to a plurality of the disk drives constituting at least one RAID group, the storage area where the plurality of disk devices is provided to a plurality of logical storage areas as well as managing, and a management unit for managing a plurality of the RAID group, the plurality of disk devices, respectively constitute the RAID group in the disk drive unit, at least one of said plurality of adapters , the data is encrypted capable encryption adapter,
    前記管理部が、前記RAIDグループに属する前記ディスク装置に接続される前記アダプタが、全て前記暗号化アダプタであるときに、該RAIDグループに対し、前記データを暗号化するか否かを示す暗号化状態を設定する第1ステップと、 The management unit, the adapter connected to the disk devices belonging to the RAID group, when it is all the encrypted adapter, to the RAID group, the encryption indicating whether to encrypt the data a first step of setting a state,
    前記暗号化アダプタが、前記データの格納先となる前記ディスク装置が属する前記RAIDグループに設定された前記暗号化状態に基づいて、該データを暗号化して該ディスク装置に格納する第2ステップとを備える ことを特徴とするストレージ装置におけるデータ処理方法。 The encrypted adapter, on the basis of the said encryption the disc apparatus is set to the RAID group including the storage destination to become the data, and a second step of storing in the disk device encrypts the data data processing method in a storage system, characterized in that it comprises.
  12. 前記第1ステップの後に、前記管理部が、前記RAIDグループに設定された前記暗号化状態に基づいて、該RAIDグループに対応する前記論理記憶領域の前記暗号化状態を表示する第3ステップをさらに備える ことを特徴とする請求項11に記載のストレージ装置におけるデータ処理方法。 After the first step, the management unit, on the basis of the said encryption status belonging to the RAID group, further a third step of displaying the encryption status of the logical storage area corresponding to the RAID group data processing method in a storage apparatus according to claim 11, characterized in that it comprises.
  13. 前記暗号化アダプタは、不揮発性メモリを有し、 The encrypted adapter has a non-volatile memory,
    前記第2ステップの前に、前記暗号化アダプタが、前記データを暗号化する際に用いられるデータ暗号鍵を前記不揮発性メモリにバックアップする第4ステップをさらに備える ことを特徴とする請求項11に記載のストレージ装置におけるデータ処理方法。 Before the second step, the encrypted adapter, a data encryption key used when encrypting the data to claim 11, further comprising a fourth step of backing up the non-volatile memory data processing method in a storage apparatus according.
  14. 前記ストレージ装置は、外部記憶装置が接続されており、 Wherein the storage device is an external storage device is connected,
    前記第2ステップの前に、前記管理部が、前記暗号化アダプタにおいて前記データを暗号化する際に用いられるデータ暗号鍵を前記外部記憶装置にバックアップする第5ステップをさらに備える ことを特徴とする請求項11に記載のストレージ装置におけるデータ処理方法。 Before the second step, the management unit, and further comprising a fifth step of backing up the data encryption key used to encrypt the data in the encrypted adapter to the external storage device data processing method in a storage apparatus according to claim 11.
  15. 前記第1ステップの後に、前記管理部が、複数の前記論理記憶領域を結合するとき、該複数の論理記憶領域に対応する前記RAIDグループに設定された前記暗号化状態が全て同一である場合に、該複数の前記論理記憶領域を結合する第6ステップをさらに備える ことを特徴とする請求項11に記載のストレージ装置におけるデータ処理方法。 After said first step, said management unit, when combining a plurality of the logical storage area, if all the encrypted state where the set in the RAID group corresponding to the logical storage area of ​​the plurality of the same the data processing method in a storage apparatus according to claim 11, further comprising a sixth step of coupling the logical storage area of ​​the plurality of.
JP2008194742A 2008-07-29 2008-07-29 Data processing method in a storage device and storage device Active JP5000599B2 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2008194742A JP5000599B2 (en) 2008-07-29 2008-07-29 Data processing method in a storage device and storage device

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
JP2008194742A JP5000599B2 (en) 2008-07-29 2008-07-29 Data processing method in a storage device and storage device
US12/234,805 US8423796B2 (en) 2008-07-29 2008-09-22 Storage device and data processing method of storage device
EP09150943A EP2151784A3 (en) 2008-07-29 2009-01-20 Storage device and data processing method of storage device
CN 200910002818 CN101639886A (en) 2008-07-29 2009-01-24 Storage device and data processing method of storage device

Publications (2)

Publication Number Publication Date
JP2010033319A JP2010033319A (en) 2010-02-12
JP5000599B2 true JP5000599B2 (en) 2012-08-15

Family

ID=41198535

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2008194742A Active JP5000599B2 (en) 2008-07-29 2008-07-29 Data processing method in a storage device and storage device

Country Status (4)

Country Link
US (1) US8423796B2 (en)
EP (1) EP2151784A3 (en)
JP (1) JP5000599B2 (en)
CN (1) CN101639886A (en)

Families Citing this family (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2009107442A1 (en) * 2008-02-29 2009-09-03 日本電気株式会社 Server authentication system, server authentication method, and server authentication program
JP4631974B2 (en) * 2009-01-08 2011-02-23 ソニー株式会社 The information processing apparatus, information processing method, program, and information processing system,
US8726043B2 (en) * 2009-04-29 2014-05-13 Empire Technology Development Llc Securing backing storage data passed through a network
US8352679B2 (en) * 2009-04-29 2013-01-08 Empire Technology Development Llc Selectively securing data and/or erasing secure data caches responsive to security compromising conditions
US8799671B2 (en) * 2009-05-06 2014-08-05 Empire Technology Development Llc Techniques for detecting encrypted data
US8924743B2 (en) * 2009-05-06 2014-12-30 Empire Technology Development Llc Securing data caches through encryption
JP2012080295A (en) 2010-09-30 2012-04-19 Toshiba Corp Information storage device, information storage method, and electronic device
US8913335B2 (en) * 2011-05-23 2014-12-16 HGST Netherlands B.V. Storage device with shingled data and unshingled cache regions
US9787522B1 (en) * 2011-06-29 2017-10-10 EMC IP Holding Company LLC Data processing system having failover between hardware and software encryption of storage data
CN102882084A (en) * 2011-07-15 2013-01-16 鸿富锦精密工业(深圳)有限公司 Hard disk adapter device
JP5749855B2 (en) * 2011-12-16 2015-07-15 株式会社日立製作所 Computer system, a volume migration control method using the same
JP5569821B2 (en) 2012-02-29 2014-08-13 日本電気株式会社 Data management method for a disk array device and disk array device
US9047493B1 (en) * 2012-06-30 2015-06-02 Emc Corporation System and method for protecting content
US8924670B1 (en) 2012-06-30 2014-12-30 Emc Corporation System and method for protecting content
US9436834B1 (en) * 2012-11-30 2016-09-06 Emc Corporation Techniques using an encryption tier property in a multi-tiered storage environment
US9684593B1 (en) * 2012-11-30 2017-06-20 EMC IP Holding Company LLC Techniques using an encryption tier property with application hinting and I/O tagging
JP2015103923A (en) * 2013-11-22 2015-06-04 京セラドキュメントソリューションズ株式会社 Image forming apparatus and image forming system
CN104951408B (en) * 2015-05-25 2018-02-06 小米科技有限责任公司 The method of data protection, storage device and the terminal device
US9910791B1 (en) * 2015-06-30 2018-03-06 EMC IP Holding Company LLC Managing system-wide encryption keys for data storage systems

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7519768B2 (en) 2003-06-24 2009-04-14 Hitachi, Ltd. Computer system, management computer, and volume allocation change method of management computer
JP4698982B2 (en) 2004-04-06 2011-06-08 株式会社日立製作所 Storage system that performs encryption processing
JP2006260491A (en) * 2005-03-18 2006-09-28 Nec Corp Storage array device, coding recording system, coding record reading method and program
JP4728060B2 (en) * 2005-07-21 2011-07-20 株式会社日立製作所 Storage devices
JP4832862B2 (en) 2005-11-18 2011-12-07 株式会社日立製作所 Disk array system and security methods
JP2008077366A (en) * 2006-09-21 2008-04-03 Hitachi Ltd Storage control device and method for controlling encrypting function thereof
US7725765B2 (en) 2006-09-29 2010-05-25 Hitachi, Ltd. Method and apparatus for encryption with RAID in storage system
JP4877962B2 (en) * 2006-10-25 2012-02-15 株式会社日立製作所 Storage subsystems that provide cryptographic functions
JP2008194742A (en) 2007-02-15 2008-08-28 Ntn Corp Method for manufacturing flange structure
US8347359B2 (en) * 2007-12-28 2013-01-01 Bruce Backa Encryption sentinel system and method

Also Published As

Publication number Publication date
EP2151784A3 (en) 2011-03-09
US8423796B2 (en) 2013-04-16
JP2010033319A (en) 2010-02-12
CN101639886A (en) 2010-02-03
US20100031062A1 (en) 2010-02-04
EP2151784A2 (en) 2010-02-10

Similar Documents

Publication Publication Date Title
US7669032B2 (en) Host-based virtualization optimizations in storage environments employing off-host storage virtualization
US6799255B1 (en) Storage mapping and partitioning among multiple host processors
US6598174B1 (en) Method and apparatus for storage unit replacement in non-redundant array
US6295575B1 (en) Configuring vectors of logical storage units for data storage partitioning and sharing
US8886992B2 (en) Requesting cloud data storage
US6966001B2 (en) Computing system and data decryption method and computer system with remote copy facility
US6421711B1 (en) Virtual ports for data transferring of a data storage system
CN101174197B (en) Information system, data transfer method and data protection method
US20020059539A1 (en) Hybrid data storage and reconstruction system and method for a data storage device
JP4939102B2 (en) Reliable method of network boot computer system
US7502898B2 (en) Method and apparatus for managing access to storage devices in a storage system with access control
US7827351B2 (en) Storage system having RAID level changing function
JP4437650B2 (en) Storage system
US7627756B2 (en) Storage system for data encryption
US8151119B2 (en) Method and apparatus for secure data mirroring a storage system
JP4456909B2 (en) Backup method, storage system and its program
US8341425B2 (en) Storage device and its control method
US9026758B2 (en) Memory device utilization in a dispersed storage network
CN100419664C (en) Incremental backup operations in storage networks
JP4520755B2 (en) Data migration method and data migration apparatus
CN101788890B (en) The method of generating a virtual volume in a storage system architecture and data access methods
CN1158604C (en) Disc driver and method for storing information on driver disc
JP4387116B2 (en) Control method for a storage system and storage system,
US9367265B2 (en) Storage system and method for efficiently utilizing storage capacity within a storage system
US7185169B2 (en) Virtual physical drives

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20100903

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20120228

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20120306

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20120330

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20120417

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20120516

R150 Certificate of patent or registration of utility model

Free format text: JAPANESE INTERMEDIATE CODE: R150

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20150525

Year of fee payment: 3